Стоимость пентеста в 2026: цены для бизнеса

В 2026 году вопрос звучит не «нужен ли нам пентест», а «сколько должен стоить тест, который действительно находит уязвимости». Стоимость тестирования на проникновение часто путают с ценой автоматического сканера, хотя разница в результате между ними гораздо больше, чем разница в счёте.

Ниже — ориентировочные рыночные вилки, разбор того, что формирует цену, и порядок сравнения двух предложений, при котором решение выдерживает проверку аудитора и службы закупок.

Цены на рынке в 2026 году

Стоимость определяется тремя вещами: что тестируем, насколько глубоко и насколько опытна команда. В таблице — типичные диапазоны для проектного формата с фиксированной ценой.

Тип теста	Типичный объём работ	Диапазон (EUR)	Диапазон (USD)
Веб-приложение, простой сайт	Визитка, формы, без авторизации	3 500 – 7 500 EUR	4 000 – 8 000 USD
SaaS среднего размера	Несколько ролей, API, платежи	11 000 – 23 000 EUR	12 000 – 25 000 USD
Корпоративная платформа	Сложная логика, микросервисы, 50+ ролей	32 000 – 75 000 EUR	35 000 – 80 000 USD
Внешняя инфраструктура	Файрволы, VPN, серверы из интернета	4 500 – 14 000 EUR	5 000 – 15 000 USD
Внутренняя сеть и Active Directory	Имитация атакующего внутри периметра	9 000 – 46 000 EUR	10 000 – 50 000 USD
Red team	Люди, процессы и технологии в одном сценарии	46 000 – 185 000 EUR	50 000 – 200 000 USD
Ретест после исправлений	Проверка закрытия находок	15 – 30% от суммы теста	15 – 30% от суммы теста

Все суммы — ориентировочные рыночные диапазоны на 2026 год, а не оферта и не гарантия цены. Один и тот же объём в EUR и USD выглядит по-разному из-за курса, локации команды и валюты расчётов.

Что определяет стоимость: шесть параметров

Большая часть разницы между двумя сметами объясняется не ставкой за день, а объёмом. Зафиксируйте эти параметры до разговора о цифрах — тогда предложения станут сопоставимыми.

Количество приложений и сред. Каждое отдельное приложение, API, репозиторий или облачный аккаунт умножает часы работы. Один диапазон IP и пять сред — это не одна и та же задача даже при одинаковом коде.
Роли и уровни доступа. Проверка как анонимного гостя, как обычного клиента и как администратора — фактически три прохода. Чем больше ролей, тем больше комбинаций, а ошибки бизнес-логики живут именно в комбинациях.
Окно тестирования. Ночные и выходные работы, заморозки изменений и ограничения по нагрузке на продакшн растягивают календарь, а календарь тоже оплачивается.
Глубина отчёта. Перечень находок — это несколько часов. Документ с бизнес-влиянием, шагами воспроизведения и рекомендациями под ваш стек — несколько дней.
Условия ретеста. Один круг обычно включён в цену. Расширенный ретест стоит дороже, зато снимает спор о том, кто платит, когда исправления выходят позже срока.
Уровень команды. Проект под руководством джуна с проверкой сеньора дешевле, чем работа сеньора, и разница заметнее всего на цепочках атак и логических ошибках. Уровни квалификации разбираем в статье про разницу между CEH и пентестером.

Практическое правило: аккуратно оценённый проект для среднего приложения обычно попадает в пятизначный диапазон, а каждая дополнительная среда, роль и круг ретеста сдвигают смету. Предложение без этих параметров — заготовка, а не бюджет.

Black box, white box и gray box: где лучшее соотношение цены и результата

Black box. Тестировщик не знает о системе ничего и тратит часы на разведку и обнаружение того, что описано в документации. Это самый реалистичный сценарий внешней атаки и одновременно самый дорогой в пересчёте на час полезной работы.

White box. Команда получает документацию, схемы архитектуры и часто исходный код. Находить реальные точки отказа проще, поэтому за те же деньги обычно больше находок. Минус — меньше реализма: такой тест не отвечает на вопрос, насколько трудно войти снаружи.

Gray box. Компромисс, который в большинстве B2B-проектов даёт лучший возврат: тестировщики получают тестовые учётные записи и ограниченный контекст, но не полный код. Они экономят время, не теряя позицию атакующего.

Комплаенс как закупочный критерий: ISO 27001, SOC 2, PCI DSS, NIS2

Во многих закупках тест — не опция, а условие договора. Полезно понимать, чего ждёт каждый аудит: эти ожидания напрямую превращаются в объём и цену.

ISO 27001. Тестирование входит в технические меры контроля и оценку рисков. Аудитор смотрит на повторяемость, методику и на то, попали ли результаты в реестр рисков.
SOC 2 Type II. Отчёт независимого теста — стандартное доказательство для корпоративных клиентов. Аудиторы ждут методику, а не выгрузку из сканера.
PCI DSS. Нужны тесты сегментации и проверки после существенных изменений в среде с карточными данными. Объём уже, но документация должна быть безупречной.
NIS2. Национальные реализации возлагают на существенные и важные организации обязанности по управлению рисками, и тестирование часто указывается как одна из мер проверки. Клиенты всё чаще запрашивают доказательства тестов и у поставщиков.

Вывод простой: аудитор платит не за тест, а за доказательство. Отчёт по признанной методике (OWASP WSTG, PTES, MITRE ATT&CK), подписанный квалифицированными специалистами, стоит дороже, чем более дешёвый тест без документации.

Объём работ и правила взаимодействия: что должно быть в договоре

Изменения объёма — обычно следствие недописанного скоупа, а не хитрость поставщика. Устойчивый документ содержит семь пунктов:

Инвентаризация активов. Домены, диапазоны IP, репозитории, облачные аккаунты и эндпоинты API, а также всё, что сознательно исключено.
Доступы и учётные данные. Какие аккаунты получают тестировщики, как они выдаются и кто отвечает за них в ходе проекта.
Rules of engagement. Разрешённые техники, запрещённые действия (разрушающие payload'ы, ограничения по социальной инженерии, системы третьих лиц), лимиты нагрузки и окна тестирования.
Авторизация и эскалация. Письменное разрешение владельца активов, технический контакт и процедура немедленной остановки теста.
Результаты и формат. Структура отчёта, модель критичности, наличие разбора и резюме для руководства.
Пункт о ретесте. Сколько кругов включено, в какие сроки их нужно использовать и как подтверждается закрытие находок.
Обработка данных. Как хранятся доказательства и учётные данные, как они редактируются, сколько хранятся и когда уничтожаются.

Если предложение молчит о пунктах со второго по седьмой, это молчание позже станет строкой в счёте. Правовое основание и письменная авторизация — обязательное условие любого теста; подробнее в статье о юридических требованиях перед проверкой.

Отчёт, доказательства и ретест

Метка критичности без доказательств — это мнение. При сравнении предложений проверьте, есть ли в образце отчёта точные шаги воспроизведения, указание затронутого компонента вплоть до параметра или эндпоинта, разделённые наблюдаемое влияние и худший сценарий, отредактированные доказательства (скриншоты, запросы и ответы, логи), рекомендации под ваш стек и статус ретеста по каждой прежней находке.

Нет первых двух пунктов — это ближе к выгрузке сканера, чем к тесту. Нет ограничений объёма — отчёт незаметно завышает покрытие, и это опаснее всего, потому что выясняется на следующем аудите.

Как сравнивать два предложения

Средний SaaS: три роли, одно публичное приложение, одно API, две облачные среды, аудит через четыре месяца. Приходят два предложения.

Пункт	Поставщик A (ниже цена)	Поставщик B (выше цена)
Основной тест	один проход, только анонимный доступ	три аутентифицированные роли
Ретест	не включён	один круг включён
Отчёт	автоматический, без проверки	ручной, с ревью и резюме
Окно тестирования	фиксированные два дня	под вашу заморозку изменений

Дешёвое предложение не обязательно нечестное — оно просто описывает другую работу. Приведите позиции к одному виду, добавьте часы на исправления и ретест, и только потом сравнивайте суммы. Альтернатива проекту с фиксированной ценой — программа bug bounty: переменные выплаты и отсутствие гарантированного доказательства для аудитора.

Красные флаги: «пентест» за 300 долларов

Предложения за несколько сотен долларов — это автоматический сканер под новым названием: нет проверки бизнес-логики, много ложных срабатываний, нет помощи с приоритизацией. Такой документ хуже отсутствия отчёта, потому что создаёт иллюзию покрытия.

Пример бюджета для среднего бизнеса

Компания на 60 сотрудников: клиентский портал, B2B-магазин, 25 IP-адресов, Microsoft 365 и сеть с Active Directory. Первый круг в 2026 году: внешняя инфраструктура 4 000–7 000 EUR, портал и магазин 7 000–11 000 EUR, проверка облачных конфигураций 3 000–5 000 EUR, ретест 1 500–3 000 EUR. Итого примерно 15 500–26 000 EUR, внутренняя сеть — во второй год.

Итог

Планируйте бюджет под результат, а не под галочку в анкете: зафиксируйте объём, включите ретест, проверьте методику и сравнивайте предложения по позициям. Свяжитесь с Cyberlord, чтобы получить смету под количество приложений, ролей и срок аудита — с явно описанным объёмом и условиями ретеста.