Quant costa un pentest?

Per què un preu fix

La majoria de les firmes cobren per dia i per abast. Et donen una forquilla, un pressupost després d’una reunió, i el retest resulta ser una partida a part. No és deshonest; és incòmode quan tens un deal esperant un qüestionari de seguretat o una auditoria que comença d’aquí a tres mesos.

Per això treballo al revés. Un preu, per endavant, per a un abast que conec. El risc que l’aplicació sigui més gran del previst és meu — i precisament per això hi ha abans una scoping call de trenta minuts. Allà decideixo si encaixes en l’abast estàndard. Si hi encaixes, són 6.500 €. Si no, ho sents en aquella trucada i reps igualment una xifra fixa, no una tarifa per hora.

Què inclouen els 6.500 €

• Scoping call de trenta minuts, sense compromís.
• Cinc dies laborables de test manual segons OWASP WSTG i ASVS Level 2, per un únic tester sènior — la mateixa persona amb qui parles.
• Cada dia de test, una actualització breu. Una troballa crítica la saps el mateix dia, no a l’informe.
• Informe preliminar en tres dies laborables després de l’últim dia de test. Més tard? 20% de descompte.
• L’informe per al teu equip: cada troballa amb prova de concepte i puntuació CVSS, perquè els teus developers la puguin reproduir.
• L’attestation letter per a la resta: una declaració de dues pàgines per a clients, inversors, auditors i asseguradores, sense els teus draps bruts tècnics.
• Debrief amb el teu equip.
• Retest durant 90 dies, fins que tot estigui resolt o formalment acceptat — amb declaració signada per ronda.
• Les preguntes del teu auditor sobre l’attestation letter les responc jo, sense cost.

Informe i attestation letter en anglès; les trucades també, en anglès o en alemany. És el que accepten auditors, inversors i clients internacionals.

Quin és l’abast estàndard

Una aplicació web amb la seva API, uns tres rols d’usuari, uns 75 endpoints, un entorn. Cobreix la majoria de les aplicacions SaaS que veig. Els cinc dies són una estimació realista per a aquesta mida, no un sostre d’esforç; no paro el divendres a la tarda perquè el comptador sigui ple.

Quan costa més

Més rols d’usuari, molts més endpoints, diversos entorns, una app mòbil al costat de la web, o una segona aplicació. Llavors no són 6.500 €, però continua sent una xifra fixa que reps per endavant. Una segona aplicació té un suplement fix. Xarxa, cloud i infraestructura els faig per a clients existents, sota petició.

Quan costa menys

Si ho necessites més d’un cop. Dos tests solts costen 13.000 €. El Pla anual costa 12.000 € l’any i inclou un test complet abans de la teva finestra d’auditoria, un test intermedi dirigit sis mesos després, una sessió de fixes amb els teus developers després de cada test, i resposta a les preguntes del teu auditor durant tot l’any. El teu informe mai té més de sis mesos.

Si fas releases cada poques setmanes, Release Guard és la tercera opció: 3.000 € al mes, fins a dos dies al mes, amb el test anual inclòs.

Com es compara amb el mercat espanyol

Les guies de preus publicades a Espanya el 2026 situen un pentest d’aplicació web entre uns 2.000 € i 15.000 € segons abast i profunditat, i la tarifa diària d’un pentester sènior entre 700 € i 1.500 €. Els 6.500 € són cinc dies de test a uns 1.300 € per dia — la part alta del mercat — amb l’informe, l’attestation letter i el retest inclosos, que en moltes ofertes són partides a part. Més barat n’hi ha; comprova llavors qui testeja i si el retest està inclòs.

Què no pagues

Ni crèdits. Ni hores que caduquen. Ni platform fee. Ni un account manager entre tu i el tester. I una pregunta tècnica entremig — també fora d’un encàrrec en curs — la responc sense més, sense factura.

Cinc preguntes que hauries de fer a qualsevol firma

1. Qui fa el test, i és la mateixa persona amb qui estic parlant ara?
2. El retest està inclòs en el preu, i fins quan després de l’informe?
3. Què veurà el meu client o el meu auditor, i què no?
4. Què passa si trobeu alguna cosa crítica el segon dia?
5. Què passa si l’informe arriba tard?

Les meves respostes són a dalt. Si una firma no les pot donar, ja en saps prou.