≡En resumen
- El pentest se presupuesta por jornadas: en el mercado español la jornada de un pentester con experiencia suele moverse entre 600 y 1.000 € sin IVA.
- Por debajo de 1.000 € lo habitual es un escaneo automático con alguna validación manual, no una prueba de penetración completa.
- La caja gris suele dar más hallazgos por euro invertido que la caja negra, porque el auditor no gasta días en descubrir lo que tú ya sabes.
- Un buen presupuesto fija el alcance por escrito, incluye informe ejecutivo y técnico y al menos una repetición de pruebas tras corregir.
- Un pentest es una foto de un momento: repítelo al menos una vez al año y después de cada cambio importante en tus sistemas.
01 Precios orientativos de un pentesting en España
Un pentest (prueba de penetración) es un ataque controlado y autorizado contra tus sistemas para descubrir qué podría hacer un atacante real y hasta dónde llegaría. A diferencia de un escaneo automático, un auditor encadena fallos, prueba la lógica de negocio y demuestra el impacto. Por eso el precio depende sobre todo del tiempo de un profesional cualificado, y ese tiempo depende del alcance.
Esta tabla resume los rangos que se ven en el mercado español en 2026 para empresas pequeñas y medianas. Son referencias para que sepas si un presupuesto es razonable, no una tarifa cerrada.
| Tipo de prueba | Alcance típico | Jornadas habituales | Rango orientativo |
|---|---|---|---|
| Escaneo de vulnerabilidades con validación manual | 1 web o hasta 20 direcciones IP | 1-2 | 500-1.500 € |
| Pentest de aplicación web sencilla | Web corporativa o tienda con pocas funciones, 1-2 roles | 3-6 | 1.800-5.000 € |
| Pentest de aplicación web o API compleja | Varios roles, pagos, integraciones, área privada | 8-20 | 5.000-15.000 € |
| Pentest de app móvil | App iOS o Android y su API | 5-10 | 3.500-9.000 € |
| Pentest de red externa | Perímetro expuesto a internet, hasta unas 30 IP | 2-5 | 1.500-4.500 € |
| Pentest de red interna | Una sede, directorio activo, servidores y puestos | 5-12 | 4.000-11.000 € |
| Pentest inalámbrico | Redes wifi de una sede | 2-4 | 1.500-4.000 € |
| Pentest físico | Accesos, recepción, salas técnicas de una sede | 3-8 | 2.500-8.000 € |
| Sistemas embebidos, IoT u OT | Un dispositivo o familia de dispositivos | 8-25 | 6.000-25.000 € |
02 Qué tipo de pentesting necesitas y cuánto pesa en el precio
La primera pregunta de la calculadora es el tipo de prueba porque cada una exige técnicas, herramientas y perfiles distintos. Si tu negocio vive de una plataforma propia, lo más rentable suele ser empezar por la aplicación. Si eres una empresa con oficinas, servidores y muchos empleados, la red interna es donde un atacante hace más daño una vez dentro. Si estás en plena fase de desarrollo de aplicaciones web a medida, planifica el pentest antes de la salida a producción y no después.
Aplicaciones web y API
Se revisa autenticación, control de acceso entre usuarios, inyecciones, lógica de negocio y exposición de datos siguiendo la guía de pruebas de OWASP. El precio sube con el número de roles, formularios, endpoints e integraciones.
Redes
Externa: lo que cualquiera ve desde internet (VPN, correo, servicios expuestos). Interna: qué consigue alguien que ya está dentro, por ejemplo a través de un portátil comprometido. La interna lleva más jornadas.
Física
Se intenta entrar en instalaciones, salas de servidores o puestos sin vigilancia. Exige presencia en la sede, coordinación con dirección y desplazamientos, por eso rara vez baja de 2.500 €.
Inalámbrica
Se evalúan las redes wifi corporativas y de invitados, su cifrado, la segmentación y la posibilidad de puntos de acceso falsos. Se cobra por sede y requiere estar físicamente cerca.
Sistemas embebidos e IoT
Cámaras, terminales de pago, maquinaria conectada o dispositivos propios. Incluye análisis de firmware y hardware, a menudo con equipo de laboratorio. Es el tipo más caro por dispositivo.
Otro alcance
Entornos cloud, aplicaciones de escritorio o integraciones con IA. Se presupuesta tras una reunión de alcance, igual que cualquier combinación de los anteriores.
Un caso cada vez más frecuente es el de las empresas que han añadido un chatbot con IA conectado a sus datos. Además de la web, conviene probar si el asistente puede ser manipulado para revelar información o ejecutar acciones que no debería. Si tu proyecto incluye una app, revisa también el precio de desarrollar una app: reservar desde el principio una partida para seguridad sale más barato que corregir después.
03 Caja negra, gris o blanca: cómo cambia el presupuesto
La segunda pregunta de la calculadora es el nivel de información que recibe el auditor. No cambia el precio de la jornada, pero sí cuántas jornadas hacen falta para cubrir bien el alcance y qué tipo de fallos se encuentran.
| Enfoque | Qué recibe el auditor | Ventaja | Inconveniente | Efecto en el precio |
|---|---|---|---|---|
| Caja negra | Solo el objetivo (un dominio, un rango de IP) | Simula a un atacante externo sin información | Parte del tiempo se va en reconocimiento y quedan zonas sin probar | Más jornadas para la misma cobertura |
| Caja gris | Usuarios de prueba, documentación básica, roles | Equilibrio entre realismo y cobertura | Requiere preparar cuentas y entorno | La mejor relación coste-hallazgos en la mayoría de casos |
| Caja blanca | Código fuente, arquitectura, acceso completo | Encuentra fallos que desde fuera no se ven | Exige perfiles más especializados y revisión de código | Jornada igual o algo más cara y más horas si hay mucho código |
04 Qué incluye un pentest y qué se paga aparte
Dos presupuestos con la misma cifra pueden ser muy distintos. Uno puede ser una prueba manual con informe accionable y otro, un escaneo de vulnerabilidades automático con un logo encima. Comprueba que el tuyo incluye al menos esto:
- ✓Reunión de alcance y documento de reglas de enfrentamiento firmado: qué se prueba, qué no, fechas y contactos de emergencia.
- ✓Autorización por escrito del responsable de los sistemas y, si hay hosting o cloud de terceros, verificación de sus políticas.
- ✓Pruebas manuales, no solo herramientas automáticas, con una metodología reconocida (OWASP, PTES, OSSTMM o NIST SP 800-115).
- ✓Informe ejecutivo para dirección, en lenguaje de negocio y con el riesgo resumido.
- ✓Informe técnico con cada hallazgo, su severidad (por ejemplo CVSS), evidencias, pasos para reproducirlo y cómo corregirlo.
- ✓Reunión de presentación de resultados con tu equipo técnico.
- ✓Al menos una repetición de pruebas (retest) para verificar que las correcciones funcionan.
Suelen ir aparte, y conviene que el presupuesto lo diga: los desplazamientos de pruebas físicas o wifi, las ventanas de trabajo nocturnas o en fin de semana, los retests adicionales, los certificados para terceros y, sobre todo, la corrección de las vulnerabilidades. Arreglar es trabajo de tu equipo de desarrollo o sistemas, o de tu proveedor de mantenimiento web, y puede costar más que el propio pentest.
05 Cómo funciona el proceso y la propuesta cerrada
-
1
Rellenas la calculadora
Indicas el tipo de prueba, el enfoque (caja negra, gris o blanca) y tu presupuesto aproximado. En 48 horas recibes una propuesta cerrada con alcance, jornadas, calendario y precio.
-
2
Reunión de alcance
Concretamos activos, entornos (producción o preproducción), horarios permitidos y contactos. Todo queda en las reglas de enfrentamiento que firmas antes de empezar.
-
3
Pruebas
El equipo ejecuta el pentest en las fechas acordadas. Si aparece una vulnerabilidad crítica, te avisamos en el momento, sin esperar al informe.
-
4
Informe y presentación
Entregamos el informe ejecutivo y el técnico y los repasamos con tu equipo para decidir prioridades de corrección.
-
5
Corrección y retest
Tu equipo corrige y comprobamos de nuevo los hallazgos. El informe final refleja qué está resuelto y qué riesgo queda asumido.
Si quieres conocer antes la metodología y el equipo, en la página del servicio de pentesting tienes el detalle. Un proyecto típico de una aplicación web, desde la firma hasta el informe, se resuelve en dos o cuatro semanas.
06 Pentester freelance, consultora o equipo interno
Quién hace la prueba influye tanto en el precio como en lo que obtienes. No hay una opción mejor para todos; depende del tamaño de tu empresa y de si necesitas presentar el informe a un cliente, un auditor o un regulador.
| Opción | Coste orientativo | A favor | En contra |
|---|---|---|---|
| Pentester freelance | 450-800 € por jornada | Precio ajustado y trato directo con quien hace las pruebas | Capacidad limitada, sin respaldo si enferma y un informe que a veces no aceptan clientes grandes |
| Consultora o agencia especializada | 600-1.000 € por jornada | Equipo con perfiles distintos, metodología, seguro de responsabilidad e informe reconocible | Más cara y, en algunas, el trabajo lo hace un perfil junior |
| Equipo interno | Salario de un perfil senior más herramientas y formación | Conoce tus sistemas y prueba de forma continua | Solo compensa en empresas grandes y pierde la visión externa e independiente |
| Plataforma de bug bounty | Pago por vulnerabilidad válida más cuota de la plataforma | Muchos ojos distintos durante más tiempo | Coste difícil de prever y no sustituye a un pentest con alcance cerrado |
07 Ejemplos de presupuesto de pentesting
Alcance: pentest de caja gris de la tienda, área de cliente, checkout y panel de administración, con un usuario cliente y uno gestor. Retest incluido.
Rango orientativo: 3.000-5.000 € sin IVA, unas 4-6 jornadas. Si aún estás calculando el presupuesto de una tienda online, reserva esta partida antes del lanzamiento.
Alcance: aplicación web con tres roles, API pública y app Android e iOS. Caja gris con documentación de la API. Dos retests.
Rango orientativo: 9.000-16.000 € sin IVA, entre 12 y 20 jornadas. Lo exigen a menudo los clientes corporativos antes de firmar, junto con un cuestionario de seguridad.
Alcance: red externa, red interna de la sede principal y wifi de ambas sedes, en caja negra para el perímetro y gris para la red interna.
Rango orientativo: 7.000-14.000 € sin IVA más desplazamientos. Si además quieres medir cómo responde tu equipo ante un ataque real, mira el presupuesto de un ejercicio de Red Team.
08 Cuándo es obligatorio o muy recomendable hacer un pentest
Ninguna ley española dice textualmente «haz un pentest al año» a todas las empresas, pero varias normas exigen comprobar de forma periódica que tus medidas de seguridad funcionan, y el pentest es la forma habitual de demostrarlo.
| Norma | A quién afecta | Qué pide |
|---|---|---|
| RGPD, artículo 32 | Cualquier empresa que trate datos personales | Un proceso de verificación, evaluación y valoración regular de la eficacia de las medidas de seguridad |
| PCI DSS 4.0, requisito 11.4 | Quien almacena, procesa o transmite datos de tarjetas | Pentest interno y externo al menos una vez cada 12 meses y tras cambios significativos |
| Esquema Nacional de Seguridad (RD 311/2022) | Sector público y sus proveedores tecnológicos | Análisis de vulnerabilidades y pruebas de penetración, con más exigencia cuanto mayor es la categoría del sistema |
| ISO/IEC 27001:2022 | Empresas certificadas o en proceso | Gestión de vulnerabilidades técnicas y pruebas de seguridad en desarrollo y aceptación (controles 8.8 y 8.29) |
| DORA (Reglamento UE 2022/2554) | Entidades financieras y sus proveedores TIC críticos | Pruebas de resiliencia periódicas y, para las entidades designadas, pruebas de penetración guiadas por amenazas cada tres años |
09 Cómo comparar presupuestos y señales de alarma
- ✓Compara jornadas y alcance, no solo el precio final: 3.000 € por 2 jornadas o por 5 son cosas muy distintas.
- ✓Comprueba que se nombran los activos concretos (dominios, IP, apps, sedes) y el enfoque de caja.
- ✓Pide la metodología y un informe de ejemplo anonimizado.
- ✓Verifica que el retest está incluido o tiene un precio fijado de antemano.
- ✓Confirma que hay acuerdo de confidencialidad y que los datos obtenidos se destruyen al terminar.
- ✓Pregunta por el seguro de responsabilidad civil profesional del proveedor.
Si lo que te preocupa es que tus empleados caigan en un engaño por correo o por teléfono, un pentest técnico no lo va a medir. Para eso consulta cuánto cuesta una prueba de ingeniería social, que se puede combinar con el pentest en el mismo proyecto.
10 Cómo pagar menos sin perder rigor
Limpia antes lo evidente
Actualiza CMS, plugins y servidores y revisa configuraciones por defecto antes del pentest. Así el auditor dedica sus jornadas a fallos que de verdad requieren a un experto.
Prioriza por riesgo
Empieza por lo que expone datos de clientes o dinero: checkout, área privada, API. El resto puede ir en una segunda fase.
Usa caja gris
Entrega usuarios de prueba y documentación. Ahorras jornadas de reconocimiento y aumentas la cobertura.
Prepara un entorno de pruebas
Una copia de preproducción con datos ficticios evita ventanas nocturnas y permite pruebas más agresivas sin riesgo para el negocio.
Otra forma de ahorrar es no repetir errores. Muchos hallazgos vienen de fallos conocidos, como los que explicamos en nuestra guía de seguridad web frente a los ataques más comunes, o de no tener un firewall de aplicaciones web que filtre lo básico. Si vas a encargar una plataforma nueva, elige un equipo de desarrollo que incluya revisión de seguridad en su proceso y calcula aparte el presupuesto de desarrollo de una aplicación web.
Preguntas frecuentes sobre el precio
Para una web corporativa o una tienda online sencilla, el mercado español suele moverse entre 1.800 y 5.000 € sin IVA. Si la aplicación tiene varios roles, pagos o una API pública, lo normal es entre 5.000 y 15.000 €.
Orientativamente, un freelance con experiencia cobra entre 450 y 800 € por jornada y una consultora especializada entre 600 y 1.000 €. Perfiles muy especializados, como hardware o IoT, pueden superar esa cifra.
Con ese importe lo realista es un escaneo de vulnerabilidades con validación manual de una web pequeña o un perímetro reducido. Es útil como primer paso, pero no es una prueba de penetración completa.
Depende del alcance. La caja negra necesita más jornadas para cubrir lo mismo porque el auditor parte de cero. La caja blanca incluye revisión de código y puede requerir perfiles más caros. La caja gris suele ser la opción más equilibrada.
La ejecución de una aplicación web mediana lleva entre una y dos semanas, y el proyecto completo, con preparación, informe y retest, entre dos y seis semanas según el alcance y la rapidez con la que corrijas.
Como referencia, al menos una vez al año y siempre después de un cambio importante: una nueva versión de la aplicación, una migración de servidores o una integración nueva. Algunas normas, como PCI DSS, lo exigen así.
Normalmente no. El pentest identifica y explica cómo corregir; la corrección la hace tu equipo o tu proveedor. Sí debería incluir al menos un retest para verificar que las correcciones funcionan.
Hay un riesgo bajo, sobre todo en pruebas de red y de denegación de servicio. Se reduce acordando horarios, excluyendo pruebas destructivas y, si es posible, trabajando sobre un entorno de preproducción.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗