Quanto costa un penetration test nel 2026?
Risposta breve: Un penetration test serio e con un perimetro ben definito, condotto da professionisti esperti, costa solitamente da circa $5.000 a $50.000, a seconda del perimetro. Le guide pubblicate stimano i test su applicazioni web tra $5.000 e $50.000 e i test su reti esterne tra $5.000 e $20.000, con tariffe giornaliere dei tester tra $1.000 e $3.000. Le scansioni automatizzate sono economiche ma non sono un pentest, e il nostro controllo della superficie di attacco da $100 è una prima analisi mirata, non un test completo.
Ogni società di pentest risponde a questa domanda con "dipende", e la maggior parte si ferma lì, perché prezzi vaghi fanno comodo a chi vende. Dipende davvero, ma le fasce di prezzo sono conoscibili, e se stai acquistando il tuo primo test meriti di vederle prima che qualcuno ti fissi una chiamata. Eccole.
Le fasce di mercato, da fonti pubbliche
Non abbiamo inventato noi questi numeri, e non dovresti fidarti sulla parola di un singolo fornitore, compresi noi. Ecco due guide ai prezzi pubblicate da società di questo settore:
La guida ai costi dei pentest di Astra Security stima il costo medio di un penetration test tra $2.500 e $50.000, con test su applicazioni web compresi tra $5.000 e $50.000 a seconda della complessità. La guida ai prezzi di Bright Defense si attesta sulla stessa fascia: da $5.000 a $30.000 per un test su applicazione web, da $5.000 a $20.000 per un test su rete esterna, e tariffe giornaliere da $1.000 a $3.000 per i professionisti che eseguono il lavoro.
Leggendo un numero sufficiente di queste guide emerge un quadro coerente: un penetration test serio, con un perimetro definito per una singola applicazione o una rete esterna, condotto da persone esperte, parte da circa $5.000 e sale in base al perimetro. La maggior parte dei preventivi sul mercato è un multiplo di una tariffa giornaliera, e la tariffa giornaliera è elevata perché si tratta di competenze rare.
Cosa incide davvero sul prezzo
Quattro elementi influenzano un preventivo più di ogni altra cosa:
- Perimetro. Un'applicazione web con due ruoli utente richiede giorni di lavoro. Cinque app, un'API e un ambiente cloud richiedono settimane. Stai acquistando ore uomo, e il perimetro determina il monte ore.
- Profondità. "Trovare ciò che è esposto" è più economico rispetto a "concatenare le vulnerabilità per dimostrare l'impatto reale e provare cosa un attaccante potrebbe sottrarre". La seconda opzione è ciò che definisce un vero pentest.
- Requisiti di reportistica. Un report che deve soddisfare un auditor, un'assicurazione o il team di sicurezza di un cliente enterprise richiede il tempo di figure senior per essere scritto e difeso.
- Chi esegue il lavoro. Un tester junior che segue una checklist e un operatore senior che si è intromesso in ambienti protetti fatturano in modo molto diverso, e i risultati variano ancora di più delle fatture.
Dove si collocano i nostri prezzi, in tutta onestà
Il nostro prodotto d'ingresso è un controllo della superficie di attacco da $100. Siamo precisi su cosa sia, perché a quel prezzo è lecito essere sospettosi: non è un penetration test. È un'analisi mirata e delimitata nel tempo della tua superficie esterna, eseguita su un perimetro di cui hai verificato la proprietà e autorizzato per iscritto, revisionata da un operatore senior e consegnata sotto forma di report con vulnerabilità classificate, oltre a una sessione di confronto di 30 minuti con lo specialista che l'ha analizzata. Esiste per consentire a un'azienda che acquista test di sicurezza per la prima volta di iniziare senza dover fare un salto nel buio da cinque cifre.
Cosa il controllo da $100 non comprende: lo sfruttamento manuale approfondito, reti interne, abuso della logica di business, social engineering o un report idoneo per un audit. Se il contratto di un tuo cliente o l'auditor SOC 2 richiede un "penetration test", questo controllo non li soddisferà, e te lo diremo prima del pagamento, non dopo.
I progetti completi vengono preventivati in base al perimetro, perché fingere che un unico prezzo vada bene per qualsiasi ambiente porta i clienti a pagare troppo o a ricevere test insufficienti. Quando elaboriamo un preventivo, lo basiamo sullo stesso principio di qualsiasi società onesta: quanti giorni di lavoro senior occorrono realmente per il tuo perimetro.
Cosa non copre nemmeno un pentest completo
Anche la fascia più costosa ha limiti oggettivi, e le aziende che saltano questo paragrafo stanno cercando di venderti qualcosa. Un penetration test è un esercizio puntuale: fornisce informazioni sui sistemi nel perimetro, durante la finestra temporale del test, rispetto alle tecniche concordate nelle regole di ingaggio. Non è una garanzia, non copre l'applicazione che rilascerai il prossimo trimestre e non dice nulla sulle risorse che nessuno ha inserito nel perimetro. Quest'ultimo punto conta più di quanto la maggior parte degli acquirenti realizzi, ed è per questo che riteniamo che la spesa di sicurezza più utile ed economica sia innanzitutto conoscere la propria superficie esposta.
Come i clienti finiscono per pagare troppo
Si verificano continuamente due modalità di errore. La prima è pagare la cifra di un pentest per una semplice scansione di vulnerabilità rietichettata: uno strumento automatizzato eseguito, esportato e riformattato con un logo. Se il documento finale arriva in tempi sospettosamente rapidi e sembra un dump di un database, è proprio quello che è successo. La seconda è accettare l'offerta più bassa senza chiedere chi ci sia effettivamente alla tastiera. Il prezzo minimo di mercato per un vero lavoro senior è stabilito dalle tariffe giornaliere, quindi un preventivo molto al di sotto vi dice già qualcosa sul livello di esperienza che otterrete.
La difesa contro entrambi i problemi è la stessa: chiedere cosa sia manuale rispetto a cosa sia automatizzato, chiedere chi esegue e chi revisiona il lavoro, e chiedere di vedere un esempio di report anonimizzato prima di firmare.
In sintesi
I veri penetration test partono da circa $5.000 e crescono con il perimetro; le guide pubbliche sopra citate concordano su questo punto. Al di sotto di quella soglia si trovano scansioni e controlli, che sono strumenti legittimi con utilizzi validi, a patto che nessuno li spacci per quello che non sono.
Se non sei pronto a spendere $5.000 solo per capire se ne hai davvero bisogno, inizia da una soluzione economica. Il nostro controllo da $100 ti mostra ciò che un attaccante vede dall'esterno, con un operatore senior nella sessione di analisi, e se il risultato indica la necessità di un progetto completo, te lo diremo con le prove alla mano.
Costo di un penetration test: risposte rapide
Quanto costa un penetration test?
La maggior parte dei test mirati eseguiti da tester esperti varia da circa $5.000 a $50.000 a seconda del perimetro. Le guide pubblicate stimano i test su applicazioni web tra $5.000 e $50.000 e i test su reti esterne tra $5.000 e $20.000, con tariffe giornaliere dei tester tra $1.000 e $3.000.
Perché il penetration testing è così costoso?
Il prezzo è legato principalmente al tempo di risorse umane qualificate. Le tariffe giornaliere sono elevate perché le competenze sono rare, e il totale sale in base al perimetro, quindi un obiettivo più ampio o complesso costa di più.
Un pentest da $100 è un vero penetration test?
No. Un controllo della superficie di attacco da $100 è una prima analisi rapida e mirata di ciò che un attaccante vede dall'esterno, non un penetration test manuale completo. È più leggero rispetto a un progetto completo, e lo diciamo chiaramente.
Qual è il modo più economico per testare la mia sicurezza?
Le scansioni automatizzate di vulnerabilità sono economiche o gratuite e vale la pena eseguirle regolarmente, ma una scansione non è un pentest. Usa una scansione per la copertura continua, un controllo per una prima analisi rapida e un penetration test completo quando hai bisogno di profondità.
Letture correlate
Inizia dove costa poco.
Il nostro controllo da $100 ti mostra ciò che un attaccante vede dall'esterno, con un operatore senior nella sessione di analisi. Se hai bisogno di un progetto completo, te lo diremo con le prove alla mano.
Prenota un controllo da $100