¿Cuánto cuesta un pentesting? Qué define el precio real

La pregunta llega casi siempre igual: "necesito un pentesting, ¿cuánto sale?". Y la respuesta honesta, antes de cualquier número, es que no se puede cotizar lo que no se ha definido. Un pentesting no es un producto de góndola con precio de lista, sino un servicio que se dimensiona según lo que hay que probar. Pedir un precio sin alcance es como pedir el presupuesto de "una casa" sin decir el tamaño ni el terreno.

Eso no significa que el precio sea un misterio arbitrario. Se arma sobre factores concretos, y conocerlos te permite leer una cotización con criterio, comparar dos propuestas que parecen iguales pero no lo son, y detectar cuándo un número demasiado bajo es en realidad una señal de alerta.

Qué define el precio

El factor que más pesa es el alcance: cuántos activos entran y de qué tipo. No cuesta lo mismo probar una sola aplicación web que evaluar además sus APIs, la infraestructura que la sostiene y la red interna de la empresa. Cada frente agrega trabajo, y el trabajo se mide en tiempo del especialista.

Después viene la complejidad de eso que se prueba. Una aplicación con un par de funciones y un solo tipo de usuario se recorre rápido; una plataforma con múltiples roles, flujos de pago, integraciones con terceros y lógica de negocio enredada exige mucho más análisis, porque las fallas más caras no están en la superficie sino en cómo se encadenan las piezas.

La profundidad también cambia el número, y suele distinguirse en tres modalidades. En una prueba de caja negra (black box) el especialista parte sin información, como lo haría un atacante externo real: es la más realista, pero gasta tiempo en reconocer el terreno antes de poder atacarlo. En caja blanca (white box) recibe acceso a credenciales, documentación y, a veces, el código fuente, lo que le permite cubrir mucho más en el mismo tiempo. La caja gris (grey box), la más habitual, es el punto intermedio: algo de acceso, por ejemplo un usuario con sesión válida, para equilibrar realismo y cobertura sin partir de cero. Cada modalidad reparte distinto el tiempo entre descubrir y profundizar, y esa decisión se refleja directamente en el alcance y en el precio.

Hay un factor que muchos pasan por alto hasta que lo necesitan: qué incluye el servicio más allá de la prueba. Un pentesting serio entrega un reporte con los hallazgos priorizados, evidencia de cada uno y una explicación de su impacto; ofrece apoyo para entender cómo remediar; y contempla un retest que confirme que las correcciones realmente cerraron el problema. Todo eso es tiempo, y el tiempo es lo que estás pagando.

Cómo se suele cotizar

En la práctica, un pentesting se calcula por días de trabajo del especialista aplicados al alcance acordado. Una evaluación acotada —una aplicación web bien delimitada, por ejemplo— se resuelve en pocos días. A medida que el alcance crece, sumando APIs, infraestructura, aplicaciones móviles o redes internas, el esfuerzo escala hasta semanas. Por eso un proveedor serio hace preguntas antes de cotizar en vez de disparar un precio al instante: necesita entender qué va a probar para saber cuánto tiempo toma.

Esto explica por qué dos cotizaciones por "lo mismo" pueden diferir tanto. Si una incluye análisis manual profundo, reporte accionable y retest, y otra es en realidad el resultado automático de una herramienta corriendo unas horas, no estás comparando precios: estás comparando servicios distintos que casualmente comparten nombre. El trabajo manual es justamente lo que confirma qué es explotable de verdad y qué no, y es la parte que un escáner no puede hacer por sí solo. Si quieres entender esa diferencia en detalle, la desarrollamos en nuestro servicio de pentesting.

Cuándo un precio bajo es una mala señal

El instinto de buscar la opción más barata es comprensible, pero en seguridad tiene un costo oculto. Un "pentesting" sospechosamente económico casi siempre es un escaneo de vulnerabilidades disfrazado: una lista cruda de problemas potenciales, llena de falsos positivos, sin nadie que confirme cuáles importan ni qué consecuencias tienen. Pagas poco y te llevas una falsa sensación de seguridad, que a veces es peor que no haber hecho nada, porque crees que estás cubierto cuando no lo estás.

La forma de protegerte no es desconfiar del precio, sino exigir claridad sobre el alcance. Un proveedor que define por escrito qué se prueba, qué queda afuera, con qué reglas, qué entregables incluye y si contempla retest, te está dando los elementos para evaluar si el número tiene sentido. Esa conversación, que a veces se apoya en una consultoría previa para ordenar prioridades, suele ahorrar más de lo que cuesta.

Cómo pedir una cotización que sirva

Para recibir un número realista, ayuda llegar con información. Saber qué activo te preocupa más —normalmente la aplicación que concentra clientes o ingresos—, qué tecnologías usa, cuántos tipos de usuario tiene y qué temes que pase si algo falla le permite al proveedor dimensionar con precisión en vez de inflar el presupuesto para cubrirse. Si recién estás ordenando tu seguridad web o tu infraestructura, empezar por el activo más crítico con un alcance acotado es casi siempre la mejor decisión: cuesta menos, entrega valor rápido y te da una base para ampliar después.

Al final, la pregunta correcta no es "cuál es el más barato", sino "qué estoy recibiendo por este precio y qué voy a poder hacer con el resultado". Un pentesting bien hecho no termina en una factura ni en una lista de problemas: termina con tu equipo sabiendo qué arreglar primero, por qué, y con la tranquilidad de haber invertido en seguridad real en vez de haber comprado un papel para mostrar. Esa diferencia, más que cualquier cifra, es lo que define si el gasto valió la pena.