Sızma Testi Maliyeti 2026: Kurumsal Fiyatlar

2026 yılında soru artık "sızma testi yaptırmalı mıyız" değil. Soru şu: gerçekten açık bulan bir test ne kadar tutmalı? Sızma testi maliyeti çoğu zaman otomatik tarama fiyatıyla karıştırılıyor; oysa iki hizmet arasındaki sonuç farkı, fatura farkından çok daha büyük.

Bu rehber tipik piyasa aralıklarını, fiyatı belirleyen kalemleri ve iki teklifi nasıl karşılaştıracağınızı anlatıyor. Amaç, satın alma kararınızın denetçi ve yönetim karşısında savunulabilir olması.

2026 pazarı: gerçekçi fiyat aralıkları

Fiyat üç şeye bağlıdır: neyi test ediyoruz, ne kadar derin gidiyoruz ve ekip ne kadar deneyimli. Aşağıdaki tablo, sabit fiyatlı proje modelinde çalışan kurumlar için tipik aralıkları gösterir.

Test türü	Tipik kapsam	Aralık (EUR)	Aralık (USD)
Web uygulaması, basit site	Tanıtım sitesi, formlar, giriş yok	3 500 – 7 500 EUR	4 000 – 8 000 USD
Orta ölçekli SaaS	Çoklu rol, API, ödeme akışı	11 000 – 23 000 EUR	12 000 – 25 000 USD
Kurumsal platform	Karmaşık iş mantığı, mikroservis, 50+ rol	32 000 – 75 000 EUR	35 000 – 80 000 USD
Dış altyapı	Güvenlik duvarı, VPN, internete açık sunucular	4 500 – 14 000 EUR	5 000 – 15 000 USD
İç ağ ve Active Directory	Çevre güvenliğini aşmış saldırgan simülasyonu	9 000 – 46 000 EUR	10 000 – 50 000 USD
Red team	İnsan, süreç ve teknolojinin tek senaryoda testi	46 000 – 185 000 EUR	50 000 – 200 000 USD
Düzeltme sonrası retest	Bulguların kapandığının doğrulanması	Test bedelinin %15 – 30 kadarı	Test bedelinin %15 – 30 kadarı

Tüm tutarlar 2026 için yaklaşık piyasa aralıklarıdır; teklif ya da fiyat garantisi değildir. Aynı kapsam EUR ve USD cinsinden kur, ekibin konumu ve faturalama para birimine göre farklı görünür.

Maliyeti belirleyen altı değişken

İki teklif arasındaki farkın büyük kısmı günlük ücretten değil, kapsamdan gelir. Rakam konuşmadan önce bu parametreleri netleştirin; ancak o zaman teklifler karşılaştırılabilir olur.

Uygulama ve ortam sayısı. Her ayrı uygulama, API, kod deposu veya bulut hesabı test saatlerini çarpar. Tek bir IP bloğu ile beş ortam aynı iş değildir, kod aynı olsa bile.
Roller ve yetki seviyeleri. Anonim ziyaretçi, standart müşteri ve yönetici olarak test etmek pratikte üç ayrı geçiş demektir. Rol arttıkça kombinasyon artar; iş mantığı hataları da tam olarak kombinasyonlarda saklanır.
Test penceresi. Gece ve hafta sonu çalışmaları, değişiklik dondurmaları ve üretim ortamındaki yük sınırları takvimi uzatır; takvim de faturalanır.
Rapor derinliği. Bulgu listesi birkaç saat sürer. İş etkisi, yeniden üretim adımları ve sizin teknoloji yığınınıza özel öneriler içeren doküman birkaç gün sürer.
Retest koşulları. Genellikle bir tur fiyata dahildir. Daha geniş retest daha pahalıdır ama düzeltmeler geciktiğinde "kim ödeyecek" tartışmasını ortadan kaldırır.
Ekip kıdemı. Kıdemli gözetiminde çalışan bir junior ekibin projesi, kıdemli liderliğindeki projeden ucuzdur; fark en çok zincirlenmiş saldırılarda ve iş mantığı bulgularında ortaya çıkar. Seviyeleri CEH ve sızma testi uzmanı karşılaştırmamızda anlatıyoruz.

Pratik kural: iyi kapsamlanmış orta ölçekli bir uygulama projesi genellikle beş haneli aralığa oturur; her ek ortam, rol ve retest turu bu tutarı yukarı çeker. Bu parametreleri atlayan teklif bir bütçe değil, yer tutucudur.

Black box, white box ve gray box

Black box testte uzmanın sistem hakkında hiçbir bilgisi yoktur; dokümantasyonun on beş dakikada çözeceği keşif işine saatler harcanır. Dış saldırgan senaryosuna en yakın yöntemdir, ancak etkin analiz saati başına en pahalısıdır.

White box testte dokümantasyon, mimari şemalar ve çoğu zaman kaynak kod paylaşılır. Ekip gerçek kırılma noktalarına daha hızlı ulaşır, aynı bütçeyle genellikle daha fazla bulgu çıkar. Eksisi düşük gerçekliktir: bu test dışarıdan girmenin ne kadar zor olduğunu söylemez.

Gray box çoğu B2B projesinde en iyi getiriyi veren uzlaşmadır: test ekibi test hesapları ve sınırlı bağlam alır, tam kaynak koda erişmez. Zaman kazanırken saldırgan bakış açısını kaybetmez.

Uyumluluk bir satın alma kriteri: ISO 27001, SOC 2, PCI DSS, NIS2

Birçok ihalede test opsiyonel değil, sözleşmenin şartıdır. Her denetimin ne beklediğini bilmek faydalıdır; bu beklentiler doğrudan kapsama ve fiyata dönüşür.

ISO 27001. Güvenlik testi teknik kontrollerin ve risk değerlendirmesinin parçasıdır. Denetçi tekrarlanabilirliğe, metodolojiye ve sonuçların risk kaydına işlenip işlenmediğine bakar.
SOC 2 Type II. Bağımsız test raporu kurumsal müşteriler nezdinde standart kanıttır. Denetçiler araç çıktısı değil, metodoloji bekler.
PCI DSS. Kart verisi ortamında segmentasyon testi ve önemli değişiklikler sonrası test gerekir. Kapsam daha dar olabilir ama dokümantasyon kusursuz olmalıdır.
NIS2. Ulusal uygulamalar kritik ve önemli kuruluşlara risk yönetimi yükümlülükleri getirir; testler sıklıkla doğrulama önlemi olarak sayılır. Alıcılar tedarikçilerinden de giderek daha fazla test kanıtı istiyor.

Sonuç basit: denetçi testi değil, kanıtı satın alır. Tanınmış bir metodolojiye (OWASP WSTG, PTES, MITRE ATT&CK) dayanan ve yetkin uzmanlarca imzalanan rapor, dokümantasyonsuz daha ucuz bir testten daha değerlidir.

Kapsam ve test kuralları

Kapsam değişiklikleri genellikle tedarikçi taktiği değil, eksik yazılmış kapsamın sonucudur. Baskıya dayanan bir sözleşme yedi unsur içerir:

Varlık envanteri. Adlandırılmış alan adları, IP blokları, kod depoları, bulut hesapları ve API uç noktaları; ayrıca bilinçli olarak hariç tutulan her şey.
Erişim ve kimlik bilgileri. Test ekibinin hangi hesapları alacağı, nasıl açılacağı ve proje süresince hesap sahipliği.
Rules of engagement. İzin verilen teknikler, yasak işlemler (veri bozan yükler, sosyal mühendislik sınırları, üçüncü taraf sistemler), yük limitleri ve test pencereleri.
Yetkilendirme ve eskalasyon. Varlık sahibinden yazılı onay, adlandırılmış teknik temas ve herkesin kullanabileceği acil durdurma prosedürü.
Çıktılar ve format. Rapor yapısı, önem derecesi modeli, bilgilendirme toplantısı ve yönetim özetinin dahil olup olmadığı.
Retest maddesi. Fiyata dahil tur sayısı, kullanım süresi ve kapanışın nasıl kanıtlanacağı.
Veri işleme. Kanıtların ve kimlik bilgilerinin nasıl saklandığı, maskelendiği, ne kadar tutulduğu ve ne zaman imha edildiği.

Teklif ikinci yedinci maddeler konusunda sessizse, bu sessizlik sonra fatura kalemi olur. Hukuki dayanak ve yazılı yetkilendirme her testin ön koşuludur; ayrıntılar için test öncesi yasal gereklilikler yazımıza bakabilirsiniz.

Rapor, kanıt ve retest

Kanıt olmadan önem derecesi bir görüştür. Teklifleri karşılaştırırken örnek raporda şunların bulunup bulunmadığını sorun: kendi mühendisinizin doğrulayabileceği kadar net yeniden üretim adımları, etkilenen bileşenin uç nokta veya parametre düzeyinde belirtilmesi, gözlenen etki ile olası en kötü senaryonun ayrı yazılması, maskelenmiş ekran görüntüleri ve istek/yanıt kayıtları, sizin yığınınıza özel düzeltme önerileri ve her eski bulgu için retest durumu.

İlk iki unsur yoksa rapor teste değil tarama çıktısına yakındır. Kapsam sınırlamaları yoksa rapor sessizce kapsamı olduğundan geniş gösterir; en tehlikeli hata budur çünkü ancak bir sonraki denetimde ortaya çıkar.

İki teklif nasıl karşılaştırılır

Orta ölçekli bir SaaS düşünün: üç rol, bir genel uygulama, bir API, iki bulut ortamı ve dört ay sonra denetim. İki teklif geliyor.

Kalem	Tedarikçi A (düşük fiyat)	Tedarikçi B (yüksek fiyat)
Temel test	tek geçiş, yalnızca anonim erişim	üç kimlik doğrulamalı rol
Retest	dahil değil	bir tur dahil
Rapor	otomatik çıktı, sınırlı inceleme	elle yazılmış, gözden geçirilmiş, yönetim özetli
Test penceresi	sabit iki gün	değişiklik dondurmanıza göre planlı

Ucuz teklif dürüst olmayan teklif demek değildir; sadece aynı işi tarif etmiyordur. Kalem kalem normalize edin, düzeltme ve retest için gerçekçi saat ekleyin, toplamları ondan sonra karşılaştırın. Sabit fiyatlı projeye alternatif olarak bug bounty programı düşünülebilir; ancak ödemeler değişkendir ve denetçinin istediği kanıtın yerini tutmaz.

Kırmızı bayraklar: 5.000 TL'lik sızma testi

Bu fiyat aralığındaki teklifler genellikle yeni ambalajlı otomatik taramadır: iş mantığı testi yok, yüksek yanlış pozitif oranı var, düzeltme önceliklendirmesine destek yok. Böyle bir rapor hiç rapor olmamasından kötüdür, çünkü kapsam yanılsaması yaratır.

Örnek: ilk tur bütçesi

60 çalışanlı bir hizmet şirketi: müşteri portalı, B2B mağaza, 25 IP adresi, Microsoft 365 ve Active Directory ağı. 2026 ilk turu yaklaşık olarak dış altyapı 4.000–7.000 EUR, portal ve mağaza 7.000–11.000 EUR, bulut yapılandırma incelemesi 3.000–5.000 EUR, retest 1.500–3.000 EUR; toplam 15.500–26.000 EUR.

Sonuç

Bütçeyi kutuyu işaretlemek için değil, sonuç için planlayın: kapsamı sabitleyin, retesti sözleşmeye yazdırın, metodolojiyi inceleyin ve teklifleri başlık değil kalem bazında karşılaştırın. Uygulama sayısı, roller ve denetim tarihine göre hazırlanmış bir teklif için Cyberlord ile iletişime geçin.