¿Cuánto cuesta una prueba de penetración?
La respuesta corta es «depende del alcance», pero eso por sí solo no ayuda mucho. Así que aquí explicamos qué determina realmente el precio de un proyecto, qué incluye un presupuesto serio y cómo conseguir una cifra precisa para tu caso.
Por qué no hay un único precio
Un único precio fijo para «una prueba de penetración» no puede reflejar lo que se está probando. Una aplicación web de tres páginas y un sitio de marketing no son el mismo trabajo que una plataforma multiinquilino con cientos de endpoints de API. El precio se basa en el esfuerzo: sigue cuánto tiempo de tester cualificado necesita de verdad el trabajo. Tres cosas determinan ese esfuerzo más que ninguna otra.
Cuánto hay que probar: número de aplicaciones, endpoints de API, hosts, roles de usuario y entornos dentro del límite acordado.
El nivel de aseguramiento que necesitas (una comprobación acotada o una verificación white-box profunda frente a un estándar) y el tipo de caja (black, grey o white).
Lo complejo que es el objetivo. Una lógica de negocio intrincada, la autenticación a medida, las integraciones pesadas y la tecnología propia añaden tiempo de prueba.
Qué determina el precio
Estas son las palancas que suben o bajan un presupuesto. Conocerlas te ayuda a definir el alcance con sensatez y a detectar una cifra demasiado baja para ser una prueba manual real.
Tipo y número de objetivos
Una sola aplicación web cuesta menos que una aplicación web más su API, los clientes móviles y la red externa. Cada objetivo es un proyecto distinto con su propio método (web, API, móvil, red, nube).
Tamaño de la superficie de ataque
Más páginas, más endpoints de API, más hosts y más roles de usuario significan más que probar. Para las API en especial, el número de rutas y la cantidad de roles/inquilinos que hay que probar determinan el tiempo.
Profundidad y tipo de caja
El descubrimiento black-box consume tiempo; el grey-box (credenciales más una especificación) es la norma eficiente; el white-box permite la cobertura más profunda para un alto aseguramiento o la verificación frente a estándares. Un mayor aseguramiento significa más horas.
Complejidad de la aplicación
La lógica de negocio intrincada, la autenticación y la autorización a medida, las integraciones con terceros y la tecnología propia, todo lleva más tiempo de probar a fondo que una aplicación estándar de serie.
Necesidades de cumplimiento e informes
Las pruebas ligadas a un estándar (por ejemplo, las pruebas de segmentación de PCI DSS) conllevan requisitos y formatos de informe específicos. Un entregable con grado de cumplimiento y un paquete de evidencias es más trabajo que un resumen interno.
Reevaluación y retainer
Comprobar que las correcciones han cerrado de verdad los problemas también lleva tiempo. En Vexaro, la reevaluación de los hallazgos corregidos se incluye sin coste adicional, dentro del plazo fijado en el Statement of Work (SoW). Los acuerdos continuos o de retainer tienen un precio distinto al de un proyecto puntual.
Qué incluye un presupuesto real
Una prueba de penetración creíble es mucho más que ejecutar un escáner. Cuando compares presupuestos, comprueba que el precio cubre pruebas manuales de verdad y un informe útil para tomar decisiones, no solo resultados automáticos. El nuestro incluye todo lo que aparece abajo.
- Definición del alcance y reglas de actuación, con un NDA antes de cualquier acceso
- Pruebas principalmente manuales a cargo de un tester humano, no solo una ejecución de escáner
- Un informe priorizado: cada hallazgo con impacto, evidencia, reproducción y remediación
- Severidad puntuada con CVSS 3.1 y traducida a riesgo de negocio
- Un resumen ejecutivo para quienes toman decisiones más el detalle técnico para los ingenieros
- Una reevaluación gratuita de los hallazgos remediados, dentro del plazo fijado en el SoW, para confirmar que los riesgos están cerrados
Plazos orientativos
El coste depende en gran medida de la duración, y la duración, del alcance. Como guía aproximada según nuestros formatos de proyecto: una prueba de penetración (web, móvil, API o perímetro externo) suele durar de 1 a 3 semanas; una auditoría de seguridad y documentación, de 2 a 4 semanas; y un proyecto de Red Team, de 3 a 6 semanas. La preparación para el cumplimiento lleva más tiempo: por ejemplo, de 6 a 9 meses para ISO 27001 y, para SOC 2 Type II, un periodo de implantación más una ventana de observación de 3 a 12 meses.
Son duraciones orientativas, no precios. El alcance y el esfuerzo finales dependen del modelo de amenazas y de los objetivos acordados. Damos un presupuesto fijo en cuanto el alcance está claro.
Preguntas frecuentes sobre el coste
Porque un precio exacto necesita un alcance. Un mismo «pentest de aplicación web» puede llevar unos días o varias semanas según el tamaño, los roles y la complejidad. Definimos el alcance rápido, a menudo con una breve llamada, y luego te damos un presupuesto fijo en lugar de una cifra que más adelante trae sorpresas.
Normalmente, la profundidad. Un presupuesto muy bajo suele significar un escaneo automatizado con una revisión manual ligera, no una prueba manual de verdad. Compara lo que realmente se hace (pruebas manuales, cobertura de la lógica de negocio y de la autorización, un informe real y una reevaluación), no solo la cifra final.
Empezamos con una consulta breve y gratuita para entender los objetivos, los roles, los entornos y tu meta. A partir de ahí acordamos un límite y proponemos un alcance, y luego damos un presupuesto fijo y un plazo. Se firma un NDA antes de cualquier acceso.
Sí. Después de que remedies, reevaluamos los hallazgos corregidos sin coste adicional para confirmar que los riesgos están cerrados. El SoW recoge qué hallazgos se reevalúan y en qué plazo, así que queda acordado desde el principio, no se añade después.
Puede. Las pruebas ligadas a un estándar (como las pruebas de segmentación del Requirement 11.4 de PCI DSS) tienen requisitos y formatos de informe específicos, y un paquete de evidencias con grado de cumplimiento es más trabajo que un resumen interno. Lo definimos explícitamente en el alcance para que no haya sorpresas.