¿Cuánto cuesta un test de penetración en 2026? (Un desglose honesto)

Una vez al mes, alguien nos escribe un mensaje breve con una sola pregunta: “¿precio rápido de un pentest?” Quieren una única cifra de vuelta. Entiendo el impulso, pero la respuesta honesta es que el coste de un test de penetración se comporta menos como un precio de estantería y más como el presupuesto de una reforma del hogar. Dos trabajos que se leen idénticos en un briefing de una línea pueden diferir en un factor de tres una vez que cuentas lo que realmente está dentro del alcance.

Así que déjame abrir el capó en lugar de esquivar la pregunta. Así es como definimos el alcance, lo que sube o baja la cifra y los rangos que puedes esperar razonablemente este año. Nada de listas de precios falsas. Solo la mecánica, para que puedas leer cualquier presupuesto – el nuestro o el de cualquier otro – y juzgar si es justo.

Y una advertencia antes de los detalles. El mayor coste oculto de este mercado no es la factura. Es pagar dinero real por un informe de tipo scan-and-dump que una herramienta gratuita podría haber producido por sí sola.

Puntos clave

• El coste de un test de penetración depende sobre todo del tamaño del alcance, la profundidad de las pruebas y la experiencia del tester, no de una tarifa fija por aplicación.
• Una prueba enfocada de aplicación web suele situarse en la franja baja o media de las cinco cifras (USD). Los proyectos con varias aplicaciones o los ejercicios de red team superan ampliamente esa cifra.
• Los presupuestos baratos suelen significar escaneo automatizado con un logo humano por encima. Las pruebas manuales realizadas por gente sénior cuestan más porque encuentran los fallos que los escáneres pasan por alto.
• Pregunta exactamente qué se incluye: el retest, el soporte a la remediación, las pruebas de lógica de negocio y un informe de verdad cambian cada uno el precio real.
• La vía más rápida hacia una cifra firme es una llamada de definición del alcance, no una página de precios. Las variables son demasiado específicas para publicar una tarifa plana.

¿Qué determina realmente el coste de un test de penetración?

El coste de un test de penetración es una función del esfuerzo, y el esfuerzo se mide en días-tester. Casi cada línea de un presupuesto se reduce a dos cosas: cuántos días dedica un tester cualificado a tu objetivo y lo sénior que es ese tester. Visto así, los factores de coste dejan de ser un misterio.

Tamaño del alcance. Es la palanca número uno. Una sola aplicación web con veinte endpoints y un único rol de usuario supone unos pocos días de trabajo. La misma aplicación con tres tipos de inquilinos, una consola de administración, una API pública y un flujo OAuth es algo completamente distinto. Definimos el alcance en unidades de superficie de ataque, no en “aplicaciones”, porque una sola “aplicación” suele esconder cinco aplicaciones detrás.

Profundidad de las pruebas. Una evaluación de vulnerabilidades que confirma y prioriza la salida de los escáneres es más barata que una prueba manual completa que encadena los hallazgos hasta una explotación funcional. En la profundidad reside la mayor parte de la diferencia de precio. Si quieres que alguien abuse de verdad del broken access control entre roles, falsifique un JWT y sondee la lógica de negocio – el fallo de acumulación de cupones, el reembolso que un usuario puede aprobarse a sí mismo – eso son horas humanas que ningún escáner sustituye.

Experiencia del tester. Una prueba realizada por alguien con OSCP u OSWE, con verdadero rodaje en proyectos, cuesta más por día y lo vale. La diferencia entre un júnior que hace clic en “active scan” en Burp y un sénior que recorre manualmente una cadena de IDOR entre dos roles es, francamente, todo el valor del proyecto.

Metodología e informes. Un informe que puedes entregar a un desarrollador, a un auditor y a un consejo de administración no se parece en nada a la exportación de una herramienta. Redactar pasos de reproducción limpios, un impacto de negocio honesto y una guía de corrección lleva tiempo. También lo lleva un retest que confirme que tus correcciones aguantaron de verdad.

¿Cuánto cuesta un test de penetración en 2026?

Estos son rangos honestos e ilustrativos en dólares estadounidenses. Considéralos típicos, no presupuestos. Tu cifra depende de los factores anteriores, y los precios varían según la región y la firma.

• Aplicación web o móvil pequeña, alcance enfocado: a menudo la franja baja de las cinco cifras. Una prueba ajustada de una sola aplicación con roles limitados se sitúa en la parte baja del rango.
• Prueba de aplicación web de tamaño medio o de API: normalmente la franja media de las cinco cifras cuando añades varios roles, una API e integraciones de terceros.
• Prueba de red externa o de perímetro: se cotiza según el número de hosts activos y de servicios expuestos. Un perímetro pequeño es comparable a la prueba de una aplicación pequeña.
• Revisión de configuración de la nube (AWS, Azure, GCP): escala con el número de cuentas y la proliferación de servicios.
• Ejercicio de red team: de varias semanas, basado en objetivos y, con diferencia, la categoría más cara, porque simula a un adversario paciente a lo largo del tiempo en lugar de una lista de verificación.

Aquí está la señal reveladora. Si una prueba completa de red externa se cotiza al precio de una buena cena, eso no es un test de penetración. Es una ejecución de Nessus o nuclei con una portada grapada encima. Leemos muchos de estos “informes previos” cuando asumimos trabajos de continuación, y el patrón es constante: la falsa economía es real y suele aparecer en el peor momento – durante un incidente o una auditoría fallida.

¿Por qué algunos presupuestos son mucho más baratos?

Porque venden algo distinto bajo el mismo nombre. La mayor razón, con diferencia, por la que dos presupuestos de test de penetración divergen es la proporción entre trabajo automatizado y manual. La automatización es barata y rápida. También es excelente detectando cabeceras que faltan y versiones con vulnerabilidades conocidas, e inútil para atrapar un fallo de lógica que permite a un usuario aprobar su propio reembolso.

Una forma rápida de poner a prueba un presupuesto barato: pregunta cuántos días-tester se asignan y quién realiza las pruebas. Las respuestas vagas – “de eso se encarga nuestra plataforma” – significan que el entregable es un escaneo. El escaneo tiene su lugar. Pertenece a tu pipeline de CI y a tu programa continuo de gestión de vulnerabilidades. No es un test de penetración y no debería cotizarse como tal.

Regla general: si el presupuesto no menciona nunca las pruebas manuales, la lógica de negocio o una metodología con nombre, estás comprando un escaneo. Cotízalo en consecuencia.

¿Qué partidas cambian el precio de forma silenciosa?

Un puñado de cosas que los compradores olvidan comprobar, cada una capaz de mover el coste real:

• ¿Retest incluido o aparte? Una prueba sin un retest de verificación te deja adivinando si tus correcciones funcionaron. Si no está en el presupuesto, pregunta. A menudo es la diferencia entre “hecho” y “hecho y demostrado”.
• Número de roles de usuario. Las pruebas de control de acceso se multiplican con los roles. Probar las vistas de administrador, personal y cliente supone aproximadamente tres pasadas sobre la superficie de autorización.
• Autenticado frente a no autenticado. Entregar credenciales a los testers cuesta más al principio, porque hay más que probar, y casi siempre es la decisión correcta. La mayoría de los hallazgos serios están detrás del inicio de sesión.
• Correspondencia con la normativa. ¿Necesitas que el informe esté orientado a SOC 2, PCI DSS, ISO 27001 o a un cuestionario de seguridad de un cliente? Esa carga adicional de reporting es trabajo real.
• Soporte a la remediación. Una llamada de debrief con tus ingenieros, o una nueva revisión de un parche, es tiempo que merece la pena pagar – y por el que merece la pena preguntar de antemano.

¿Cómo se obtiene una cifra precisa?

Un coste preciso de un test de penetración se obtiene de una conversación de definición del alcance, no de una calculadora. Preguntamos por la lista de objetivos, el stack tecnológico, el número de roles, si una API y una aplicación móvil están dentro del alcance y qué intentas demostrar realmente – un requisito de cliente, un plazo de cumplimiento o una garantía genuina antes de un lanzamiento. Veinte minutos de definición del alcance te evitan tanto pagar de más como quedarte corto con el alcance.

Trae contexto que nos permita dimensionarlo rápido: un esquema de arquitectura, documentación de endpoints o de Swagger y cualquier informe previo. Cuanto más preciso sea tu alcance, más ajustado y justo será el presupuesto, y menos relleno de “contingencia” tendrá que incluir cualquiera para cubrir las incógnitas.

Cómo fija precios y entrega CyberXplore

Definimos el alcance por superficie de ataque y días-tester. Probamos manualmente, con gente sénior. Cada proyecto entrega un informe sobre el que tus desarrolladores pueden actuar, más un retest que confirma que las correcciones aguantaron. Nuestro test de penetración de aplicaciones web se construye en torno a la explotación manual de los fallos que de verdad importan – broken access control, injection, fallos de autenticación y de sesión, y lógica de negocio – no un escáner disfrazado de servicio.

¿Quieres una cifra real para tu alcance concreto en lugar de un rango? Solicita un presupuesto y convertiremos una breve llamada de definición del alcance en un precio fijo y transparente, sin partidas sorpresa.

FAQ

¿Cuánto cuesta un test de penetración de aplicación web?

Para una prueba enfocada de una sola aplicación, espera la franja baja de las cinco cifras en USD. Las aplicaciones de tamaño medio con varios roles, una API e integraciones suelen situarse en la franja media de las cinco cifras. El coste exacto de un test de penetración depende del tamaño del alcance, la profundidad y la experiencia del tester, por lo que las cifras firmes vienen de una llamada de definición del alcance y no de una lista de precios.

¿Por qué es tan caro el test de penetración?

Porque es trabajo humano cualificado. Un tester sénior que explota manualmente tu aplicación encuentra fallos de lógica y cadenas de control de acceso que las herramientas automatizadas pasan por alto por completo. Estás pagando por experiencia y tiempo, no por software. La alternativa barata, un escaneo automatizado, sencillamente no es el mismo producto.

¿Merece la pena un test de penetración barato?

Normalmente no, si “barato” significa un escaneo con una plantilla de informe. Esos pasan por alto los hallazgos que de verdad provocan brechas y pueden darte una falsa confianza justo antes de una auditoría o un incidente. Si el presupuesto es ajustado, reduce el alcance a tu activo más crítico y pruébalo como es debido, en lugar de probarlo todo de forma superficial.

¿Un test de penetración incluye la corrección de los problemas?

Un test de penetración identifica y prioriza las vulnerabilidades con pasos de reproducción y una guía de corrección. La remediación la hace tu equipo. Las buenas firmas incluyen un retest para verificar que las correcciones funcionaron, y muchas ofrecen un debrief de remediación. Confirma que ambos están en el presupuesto antes de firmar.

¿Con qué frecuencia deberíamos realizar un test de penetración?

Al menos una vez al año, y después de cualquier lanzamiento importante o cambio de arquitectura. Muchos equipos combinan un test de penetración manual anual con escaneo automatizado continuo entre medias, lo que mantiene predecible el coste recurrente y aun así detecta pronto los nuevos problemas.

¿Cuál es la diferencia de coste entre un escaneo de vulnerabilidades y un test de penetración?

Un escaneo es en gran medida automatizado y económico. Un test de penetración es manual, intensivo en trabajo y se cotiza por días-tester. La brecha de coste refleja una brecha de capacidad: los escaneos encuentran los problemas conocidos, los pentests encuentran los explotables y los basados en lógica. Ambos merecen un lugar en un programa maduro.