Resposta direta
Pentest Web / API: R$ 18.000 – R$ 60.000
Pentest Mobile (iOS/Android): R$ 25.000 – R$ 75.000
Pentest de Rede (externo/interno): R$ 15.000 – R$ 90.000
Pentest Cloud / Kubernetes: R$ 35.000 – R$ 120.000
Red Team (30 dias): R$ 90.000 – R$ 250.000+
Cobrança por hora: R$ 400–600/h em consultorias sênior no Brasil; US$ 100–300/h para pentesters sênior internacionais.
7 variáveis que mudam o valor final
1. Tamanho do escopo
Quantidade de endpoints, perfis, microserviços e integrações. Um SaaS com 3 perfis e 80 endpoints leva 5× mais tempo que uma landing page.
2. Modalidade de teste
Black-box (só visão externa) é mais barato; gray-box (com credenciais) é o mais comum; white-box (código + arquitetura) é o mais completo.
3. Stack tecnológico
Microserviços, Kubernetes, serverless e arquiteturas cloud-native exigem especialistas e ampliam o cronograma em 20–40%.
4. Exigências de compliance
Pentest para PCI-DSS, LGPD, ISO 27001 ou SOC 2 exige templates de relatório, evidências e rastreabilidade específicos.
5. Reteste incluso
Uma proposta sem reteste é incompleta. Padrão na Evernow: 1 reteste após correções, dentro de 60 dias.
6. Urgência / SLA
Início expresso (lead time de 5 dias) e testes em janela noturna/fim de semana têm premium de 15–30%.
7. Senioridade dos testers
Certificações OSCP, OSWE, GPEN, GWAPT e histórico de CVEs descobertas justificam hora/hora mais alta — e relatório 3× mais acionável.
Perguntas frequentes sobre preço de pentest
Por que existem pentests de R$ 3.000 no mercado?
São varreduras automatizadas (DAST/VA) vendidas como pentest. Não validam exploração, encadeamento de ataque nem lógica de negócio — e são rejeitadas em auditorias sérias de PCI-DSS e ISO 27001.
Preciso de pentest para atender à LGPD?
A LGPD não exige pentest explicitamente, mas demanda "medidas técnicas adequadas" (Art. 46). O pentest é o padrão de-facto para evidenciar diligência à ANPD.
Com que frequência devo fazer pentest?
Mínimo: anual. Recomendado: a cada release maior + anual de baseline. PCI-DSS exige um após qualquer mudança significativa.
O que a Evernow entrega que os outros não entregam?
Relatório com narrativa de ataque real, pontuação CVSS v4, 1 reteste grátis, integração com seu Jira/ClickUp e 30 min de debrief executivo com o CISO.
