Quanto costa un penetration test nel 2026? (Un’analisi onesta)

Una volta al mese qualcuno ci scrive un breve messaggio con una sola domanda: “prezzo rapido per un pentest?” Vogliono una singola cifra in risposta. Capisco l’impulso, ma la risposta onesta è che il costo di un penetration test si comporta meno come un prezzo da scaffale e più come il preventivo di una ristrutturazione di casa. Due lavori che si leggono identici in un brief di una riga possono differire di un fattore tre una volta che conti ciò che rientra davvero nel perimetro.

Allora lasciatemi aprire il cofano invece di schivare la domanda. Ecco come definiamo il perimetro, cosa fa salire o scendere la cifra e le fasce che potete ragionevolmente aspettarvi quest’anno. Nessun finto listino prezzi. Solo la meccanica, così potete leggere qualsiasi preventivo – il nostro o quello di chiunque altro – e giudicare se è equo.

E un avvertimento prima dei dettagli. Il costo nascosto più grande in questo mercato non è la fattura. È pagare denaro vero per un report di tipo scan-and-dump che uno strumento gratuito avrebbe potuto produrre da solo.

Punti chiave

• Il costo di un penetration test dipende soprattutto dalla dimensione del perimetro, dalla profondità dei test e dall’esperienza del tester, non da una tariffa fissa per applicazione.
• Un test mirato di un’applicazione web si colloca di solito nella fascia bassa o media delle cinque cifre (USD). I progetti con più applicazioni o gli ingaggi red team superano ampiamente questo livello.
• I preventivi economici di solito significano scansione automatizzata con un logo umano sopra. I test manuali svolti da persone senior costano di più perché trovano i bug che gli scanner si lasciano sfuggire.
• Chiedete esattamente cosa è incluso: retest, supporto alla remediation, test della logica di business e un report vero cambiano ciascuno il prezzo reale.
• La via più rapida verso una cifra definitiva è una call di scoping, non una pagina dei prezzi. Le variabili sono troppo specifiche per pubblicare una tariffa fissa.

Che cosa determina davvero il costo di un penetration test?

Il costo di un penetration test è una funzione dell’impegno, e l’impegno si misura in giorni-tester. Quasi ogni riga di un preventivo si riconduce a due cose: quanti giorni un tester qualificato dedica al vostro obiettivo e quanto è senior quel tester. Vista così, i fattori di costo smettono di essere un mistero.

Dimensione del perimetro. È la leva numero uno. Una singola applicazione web con venti endpoint e un solo ruolo utente sono pochi giorni di lavoro. La stessa applicazione con tre tipi di tenant, una console di amministrazione, una API pubblica e un flusso OAuth è tutt’altra cosa. Definiamo il perimetro in unità di superficie di attacco, non in “applicazioni”, perché una singola “applicazione” nasconde regolarmente cinque applicazioni dietro di sé.

Profondità dei test. Una valutazione delle vulnerabilità che conferma e prioritizza l’output degli scanner costa meno di un test manuale completo che concatena i risultati fino a un’exploitation funzionante. È nella profondità che si gioca la maggior parte della differenza di prezzo. Se volete che qualcuno abusi davvero del broken access control tra i ruoli, falsifichi un JWT e sondi la logica di business – il difetto nell’accumulo di coupon, il rimborso che un utente può approvare a se stesso – quelle sono ore umane che nessuno scanner sostituisce.

Esperienza del tester. Un test svolto da qualcuno con OSCP o OSWE, con un vero bagaglio di ingaggi alle spalle, costa di più al giorno e li vale. Il divario tra un junior che clicca su “active scan” in Burp e un senior che percorre manualmente una catena di IDOR su due ruoli è, francamente, l’intero valore dell’ingaggio.

Metodologia e reportistica. Un report che potete consegnare a uno sviluppatore, a un auditor e a un consiglio di amministrazione non ha nulla a che vedere con l’esportazione di uno strumento. Scrivere passi di riproduzione puliti, un impatto di business onesto e indicazioni per la correzione richiede tempo. Lo stesso vale per un retest che confermi che le vostre correzioni hanno davvero tenuto.

Quanto costa un penetration test nel 2026?

Ecco fasce oneste e indicative in dollari statunitensi. Consideratele tipiche, non preventivi. La vostra cifra dipende dai fattori sopra, e i prezzi variano in base alla regione e all’azienda.

• Piccola applicazione web o mobile, perimetro mirato: spesso la fascia bassa delle cinque cifre. Un test contenuto di una singola applicazione con pochi ruoli si colloca nella parte bassa della fascia.
• Test di applicazione web di medie dimensioni o di API: tipicamente la fascia media delle cinque cifre quando si aggiungono più ruoli, una API e integrazioni di terze parti.
• Test di rete esterna o del perimetro: il prezzo si basa sul numero di host attivi e di servizi esposti. Un piccolo perimetro è paragonabile al test di una piccola applicazione.
• Revisione della configurazione cloud (AWS, Azure, GCP): scala con il numero di account e la proliferazione dei servizi.
• Ingaggio red team: di più settimane, basato su obiettivi e, con ampio margine, la categoria più costosa, perché simula un avversario paziente nel tempo anziché una checklist.

Ecco il segnale rivelatore. Se un test completo di rete esterna viene proposto al prezzo di una bella cena, non è un penetration test. È un’esecuzione di Nessus o nuclei con una copertina spillata sopra. Leggiamo parecchi di questi “report precedenti” quando prendiamo in carico lavori successivi, e lo schema è costante: la falsa economia è reale e di solito emerge nel momento peggiore – durante un incidente o un audit fallito.

Perché alcuni preventivi sono così più economici?

Perché vendono una cosa diversa con lo stesso nome. Il motivo di gran lunga più importante per cui due preventivi di penetration test divergono è il rapporto tra lavoro automatizzato e manuale. L’automazione è economica e veloce. È anche eccellente nell’individuare header mancanti e versioni note come vulnerabili, e inutile nel cogliere un difetto di logica che consente a un utente di approvare il proprio rimborso.

Un modo rapido per mettere alla prova un preventivo economico: chiedete quanti giorni-tester sono allocati e chi esegue i test. Risposte vaghe – “se ne occupa la nostra piattaforma” – significano che il deliverable è una scansione. La scansione ha il suo posto. Appartiene alla vostra pipeline CI e al vostro programma continuo di gestione delle vulnerabilità. Non è un penetration test e non dovrebbe essere prezzato come tale.

Regola pratica: se il preventivo non menziona mai i test manuali, la logica di business o una metodologia con un nome preciso, state comprando una scansione. Prezzatela di conseguenza.

Quali voci cambiano il prezzo in modo silenzioso?

Una manciata di cose che i committenti dimenticano di verificare, ciascuna in grado di spostare il costo reale:

• Retest incluso o a parte? Un test senza un retest di verifica vi lascia a indovinare se le vostre correzioni hanno funzionato. Se non è nel preventivo, chiedetelo. Spesso è la differenza tra “fatto” e “fatto e dimostrato”.
• Numero di ruoli utente. I test di controllo degli accessi si moltiplicano con i ruoli. Testare le viste di amministratore, staff e cliente equivale grosso modo a tre passaggi sulla superficie di autorizzazione.
• Autenticato o non autenticato. Fornire credenziali ai tester costa di più all’inizio, perché c’è più da testare, ed è quasi sempre la scelta giusta. La maggior parte dei risultati seri si trova dietro il login.
• Mappatura di conformità. Serve che il report sia impostato per SOC 2, PCI DSS, ISO 27001 o per un questionario di sicurezza di un cliente? Quel lavoro aggiuntivo di reportistica è lavoro vero.
• Supporto alla remediation. Una call di debrief con i vostri ingegneri, o una nuova revisione di una patch, è tempo che vale la pena pagare – e su cui vale la pena informarsi in anticipo.

Come si ottiene una cifra precisa?

Un costo preciso di un penetration test si ottiene da una conversazione di scoping, non da un calcolatore. Chiediamo l’elenco degli obiettivi, lo stack tecnologico, il numero di ruoli, se una API e un’applicazione mobile rientrano nel perimetro e cosa state davvero cercando di dimostrare – un requisito di un cliente, una scadenza di conformità o una reale garanzia prima di un lancio. Venti minuti di scoping vi evitano sia di pagare troppo sia di dimensionare male il perimetro.

Portate un contesto che ci permetta di dimensionare in fretta: uno schema di architettura, la documentazione degli endpoint o di Swagger e qualsiasi report precedente. Più il vostro perimetro è preciso, più il preventivo è contenuto ed equo, e meno “contingenza” chiunque deve inserire per coprire le incognite.

Come CyberXplore definisce i prezzi e consegna

Definiamo il perimetro in base alla superficie di attacco e ai giorni-tester. Testiamo manualmente, con persone senior. Ogni ingaggio consegna un report su cui i vostri sviluppatori possono agire, più un retest che conferma che le correzioni hanno tenuto. Il nostro penetration test di applicazioni web è costruito attorno allo sfruttamento manuale dei bug che contano davvero – broken access control, injection, difetti di autenticazione e di sessione, e logica di business – non uno scanner travestito da servizio.

Volete una cifra reale per il vostro perimetro specifico invece di una fascia? Richiedi un preventivo e trasformeremo una breve call di scoping in un prezzo fisso e trasparente, senza voci a sorpresa.

FAQ

Quanto costa un penetration test di un’applicazione web?

Per un test mirato di una singola applicazione, aspettatevi la fascia bassa delle cinque cifre in USD. Le applicazioni di medie dimensioni con più ruoli, una API e integrazioni si collocano di solito nella fascia media delle cinque cifre. Il costo esatto di un penetration test dipende dalla dimensione del perimetro, dalla profondità e dall’esperienza del tester, ed è per questo che le cifre definitive vengono da una call di scoping e non da un listino prezzi.

Perché il penetration testing è così costoso?

Perché è lavoro umano qualificato. Un tester senior che sfrutta manualmente la vostra applicazione trova difetti di logica e catene di controllo degli accessi che gli strumenti automatizzati mancano del tutto. State pagando per competenza e tempo, non per un software. L’alternativa economica, una scansione automatizzata, semplicemente non è lo stesso prodotto.

Vale la pena un penetration test economico?

Di solito no, se “economico” significa una scansione con un modello di report. Questi mancano i risultati che causano davvero le violazioni e possono darvi una falsa sicurezza proprio prima di un audit o di un incidente. Se il budget è limitato, restringete il perimetro all’asset più critico e testatelo come si deve, invece di testare tutto in modo superficiale.

Un penetration test include la correzione dei problemi?

Un penetration test identifica e prioritizza le vulnerabilità con passi di riproduzione e indicazioni per la correzione. La remediation la fa il vostro team. Le buone aziende includono un retest per verificare che le correzioni abbiano funzionato, e molte offrono un debrief di remediation. Verificate che entrambi siano nel preventivo prima di firmare.

Con quale frequenza dovremmo eseguire un penetration test?

Almeno una volta all’anno, e dopo ogni rilascio importante o cambiamento di architettura. Molti team abbinano un penetration test manuale annuale a una scansione automatizzata continua nel mezzo, il che mantiene prevedibile il costo ricorrente pur individuando presto i nuovi problemi.

Qual è la differenza di costo tra una scansione delle vulnerabilità e un penetration test?

Una scansione è in gran parte automatizzata ed economica. Un penetration test è manuale, ad alta intensità di lavoro e prezzato in giorni-tester. Il divario di costo riflette un divario di capacità: le scansioni trovano i problemi noti, i pentest trovano quelli sfruttabili e basati sulla logica. Entrambi meritano un posto in un programma maturo.