Ghid practic · Buget și ofertă

Cât costă un pentest
și de ce nu există preț de listă

Un test de penetrare se plătește pe efortul unui specialist, iar efortul depinde de ce trebuie testat. Ce îl mărește, cât durează de obicei fiecare tip de test și cum comparați două oferte care par să spună același lucru.

Actualizat 7 min de citit 5 surse citate
Cuprins
  1. Unitatea de măsură: ziua de testare
  2. Cei șase factori care decid efortul
  3. Estimați efortul
  4. Ordinul de mărime, pe tip de test
  5. Black, grey sau white box: care costă mai mult
  6. Cum comparați două oferte
  7. Cum reduceți costul fără să reduceți valoarea
  8. Cât de des se repetă și ce înseamnă pentru buget
  9. Întrebări frecvente
  10. Surse

În 30 de secunde

  • Unitatea de măsură e ziua de testare (zi-om): o ofertă fără număr de zile nu se poate compara cu nimic.
  • Efortul îl decid șase factori: perimetrul, complexitatea, rolurile, informațiile date testerului, cerința de conformitate și constrângerile de execuție.
  • Un test fără informații riscă să lase vulnerabilități negăsite în timpul alocat — o spune și ghidul NCSC 1.
  • Raportul trebuie să spună cum se rezolvă fiecare problemă 1, iar re-testul confirmă corecțiile — PCI DSS îl cere explicit 5.
  • Al doilea ciclu costă de obicei mai puțin: perimetrul e deja cartografiat.
Unitatea
zi-om de testare
Web complexă
8–20 zile
Re-test
cerut de PCI 5
Frecvența PCI
la 12 luni 5

Unitatea de măsură: ziua de testare

Întrebarea „cât costă un pentest?” primește aproape mereu răspunsul „depinde”. Nu e o eschivă: un test de penetrare se plătește pe efortul unui specialist. Ofertele serioase se construiesc la fel — se estimează numărul de zile-om de testare, se adaugă raportarea și re-testul, iar totalul se înmulțește cu tariful zilnic al furnizorului. De aceea două oferte foarte diferite pot fi amândouă corecte: una a estimat cinci zile, cealaltă cincisprezece, pentru că au înțeles diferit perimetrul.

Perimetrul se fixează înainte de preț. Ghidul NCSC cere ca etapa de stabilire a perimetrului să se încheie cu un document care spune, între altele, limitele tehnice ale testului 1; ghidul NIST pentru testare tehnică pune și el planificarea înaintea testării propriu-zise 2.

Cei șase factori care decid efortul

  1. Mărimea perimetrului

    Câte adrese IP, aplicații, domenii și subdomenii, aplicații mobile.

  2. Complexitatea funcțională

    O aplicație cu trei ecrane și una cu optzeci nu se testează în același timp, chiar dacă rulează pe același server.

  3. Rolurile și fluxurile

    Fiecare rol de utilizator înmulțește testele de autorizare: cine poate vedea și modifica ce.

  4. Informațiile date testerului

    Black, grey sau white box: cu documentație și acces, timpul trece de la descoperire la testare reală.

  5. Cerința de conformitate

    Un test pentru PCI DSS, ISO 27001 sau DORA cere structură, dovezi și re-test documentat — timp în plus de raportare.

  6. Constrângerile de execuție

    Testare doar în afara orelor de lucru, producție sensibilă, acorduri cu furnizorii de cloud.

Estimați efortul

Estimați efortul pentru perimetrul dumneavoastră

Orientativ, din proiectele noastre tipice. Rezultatul e în zile-om, nu în bani: așa se compară corect două oferte.

Ce testăm?
Cât de mare e perimetrul?
Câte informații primește testerul?
Aveți nevoie de raport pentru un audit (PCI DSS, ISO 27001, DORA…)?
Includem re-testul după remediere?

Ordinul de mărime, pe tip de test

Intervalele de mai jos vin din proiectele noastre tipice: sunt efort de testare, nu prețuri. Folosiți-le ca test de bun-simț pentru orice ofertă: dacă cineva promite un test complet al unei aplicații web complexe în două zile, nu comparați prețuri, ci profunzimi diferite.

Tipul testuluiEfort tipic de testareCe mărește efortul cel mai des
Aplicație web mică (site, portal simplu)3–5 zileMulte subdomenii uitate în perimetru
Aplicație web complexă (SaaS, bancar, multi-rol)8–20 zileNumărul de roluri și logica de business
Infrastructură externă3–8 zileNumărul de gazde active, nu de adrese alocate
Infrastructură internă / Active Directory5–15 zileNumărul de domenii, relații de încredere, filiale
Aplicație mobilă (o platformă)5–10 zileAPI-ul din spate, dacă nu a mai fost testat
Mediu cloud (configurație și identități)4–10 zileNumărul de conturi, regiuni și servicii folosite
Inginerie socială / phishing3–8 zileNumărul de scenarii și pretextele personalizate

Black, grey sau white box: care costă mai mult

Contraintuitiv, black box costă de obicei mai mult pentru același rezultat. Fără informații, o parte din zilele plătite se duc pe descoperire — pe cartografierea a ceea ce știți deja. NCSC o spune direct: lipsa informațiilor poate face ca unele vulnerabilități să rămână negăsite în timpul alocat testului 1.

Grey box — conturi de test pentru fiecare rol și documentația de bază — e alegerea obișnuită pentru aplicații web: ghidul de testare OWASP (WSTG, versiunea stabilă 4.2) are capitole întregi de teste de autorizare și de logică de business care cer conturi 3. Black box are sens când vreți exact perspectiva unui atacator din afară, fără cunoștințe interne.

Cum comparați două oferte

Diferența de preț dintre furnizori vine rar din tariful zilnic; vine din ce se livrează. Un „pentest” de o zi pe o aplicație complexă este aproape mereu o scanare automată cu raportul exportat. NCSC descrie testul de penetrare ca pe un mijloc de a obține asigurare, nu ca metodă principală de a găsi vulnerabilități 1 — iar asigurarea vine din munca manuală.

  • Testare manuală a logicii de business — scanerele nu o acoperă.
  • Re-testul inclus sau facturat separat — fără el, costul real e mai mare decât cel din ofertă.
  • Cine scrie raportul: un raport generat de unealtă și unul scris de tester arată complet diferit; raportul trebuie să spună cum se rezolvă fiecare problemă 1.
  • Structura raportului pentru audit: perimetru, metodologie, limitări, constatări și raport de re-test separat, cu datele ambelor teste 4.
  • Gravitatea justificată în context, nu doar prin scorul CVSS.

Cum reduceți costul fără să reduceți valoarea

  • Dați acces și documentație. Fiecare oră în care testerul ghicește arhitectura e o oră plătită pentru descoperire, nu pentru testare.
  • Restrângeți perimetrul la ce contează: sistemele care țin datele și veniturile, nu tot inventarul.
  • Rulați întâi o scanare proprie și reparați ce iese. Nu plătiți un specialist ca să găsească un patch lipsă.
  • Planificați testarea recurentă: la al doilea ciclu efortul scade, pentru că perimetrul e deja cunoscut.

Cât de des se repetă și ce înseamnă pentru buget

PCI DSS cere teste de penetrare interne și externe cel puțin o dată la 12 luni și după orice schimbare semnificativă, plus repetarea testului pentru a confirma corecțiile 5. În afara reglementărilor, NCSC observă că nu e neobișnuit să treacă un an sau mai mult între două teste 1. Recomandarea noastră: anual și după schimbări mari — iar un program recurent valorifică faptul că al doilea ciclu e mai scurt.

Întrebări frecvente

Cât costă, în medie, un test de penetrare?
Nu există o medie utilă, pentru că prețul se calculează pe efort. Din proiectele noastre, o aplicație web mică înseamnă de obicei 3–5 zile de testare, una complexă 8–20, o infrastructură internă 5–15. Zilele înmulțite cu tariful zilnic al furnizorului dau ordinul de mărime și, mai ales, vă permit să comparați corect două oferte.
De ce furnizorii nu publică prețuri fixe?
Pentru că un preț fix ar însemna un perimetru fix. Două aplicații pe același tip de server pot cere un efort de patru ori diferit dacă una are trei ecrane și cealaltă optzeci, cu cinci roluri. Un preț unic fie limitează tacit ce se testează, fie vine cu un supliment după ce furnizorul vede perimetrul real.
Black box sau white box — care e mai scump?
De obicei black box, pentru același rezultat: o parte din zile se duce pe descoperire, iar lipsa informațiilor poate lăsa vulnerabilități negăsite în timpul alocat 1. White box mută acel timp în testare efectivă.
Re-testul după remediere se plătește separat?
Depinde de furnizor — întrebați înainte de semnare. Re-testul verifică dacă vulnerabilitățile chiar au fost închise și produce documentul pe care îl cer auditorii; PCI DSS cere explicit repetarea testului după corecții 5. Dacă nu e inclus, costul real e mai mare decât cel din ofertă.
Cât de des trebuie repetat testul?
Cel puțin anual și după orice schimbare semnificativă — așa cere PCI DSS pentru mediul de card 5, și e o regulă bună și în afara lui. Al doilea ciclu costă de obicei mai puțin, pentru că perimetrul e deja cartografiat.
Ce primesc pentru zilele plătite?
Constatările confirmate manual, fiecare cu gravitatea, dovada și modul de rezolvare 1, un rezumat pentru conducere și, pentru audit, un raport pe structura recunoscută de evaluatori, cu raport de re-test separat 4.

Surse

Fiecare afirmație despre lege sau standard trimite la sursa ei oficială. Consultate la data indicată.

  1. NCSC — Penetration testing (ghid)ncsc.gov.uk · consultat 23 octombrie 2026
  2. NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment (2008)csrc.nist.gov · consultat 23 octombrie 2026
  3. OWASP Web Security Testing Guide (WSTG)owasp.org · consultat 23 octombrie 2026
  4. PCI SSC — Penetration Testing Guidance v1.1 (2017)pcisecuritystandards.org · consultat 23 octombrie 2026
  5. PCI DSS v4.0.1 — SAQ D pentru furnizori de servicii, r2 (textul cerinței 11.4)pcisecuritystandards.org · consultat 23 octombrie 2026

Despre autori

Ghidurile le scrie echipa care face testele, nu un departament de marketing. Le actualizăm când se schimbă legea, standardul sau ce vedem în teste.

Echipa Pentest.mdIngineri de securitate cu certificări CEH, CISSP, CISA și CISM

Ghiduri conexe

Cum vă pregătiți pentru un pentestPentest sau scanare de vulnerabilități?Ghidul OWASP Top 10Ghidul PCI DSS v4.0.1Ghidul ISO 27001 și SOC 2Ghidul DORA și TLPTToate ghidurile →

Doriți o estimare pentru perimetrul dumneavoastră?

Primiți o ofertă cu zilele de testare, livrabilele și re-testul, punct cu punct.

Solicitați o ofertă →Scrieți-ne o întrebare