Cuánto Cuesta un Pentesting en España (2026)

La pregunta que más recibimos de CTOs y responsables técnicos es directa: "cuánto cuesta un pentest?" Y la respuesta honesta es: depende. Depende de qué estás testeando, a qué profundidad, y quién lo hace.

Eso no significa que sea imposible dar cifras concretas. Hemos recopilado precios reales de proveedores españoles de pentesting, consultoras de ciberseguridad y plataformas automatizadas para darte rangos de precio actualizados a 2026. Sin formularios de contacto, sin "solicita presupuesto personalizado". Números reales.

Si buscas el precio de un pentesting externo, cuánto cuesta un pentest de aplicación web, o las tarifas de pruebas de penetración en España, aquí tienes la guía más directa que vas a encontrar.

---

Los factores que determinan el precio

Antes de mirar tablas de precios, entiende qué variables mueven la factura. Dos pentests con el mismo nombre pueden costar cantidades radicalmente distintas dependiendo de estos factores.

Alcance: el número de IPs, dominios, aplicaciones y endpoints API que entran en el test. Un pentest de 3 IPs no es lo mismo que uno de 50. Cada activo adicional requiere tiempo de reconocimiento, testeo y documentación.

Profundidad: no es lo mismo un test black box (el tester no sabe nada de tu infraestructura) que un grey box (tiene credenciales y documentación parcial) o un white box (acceso completo al código y arquitectura). Más profundidad significa más horas de trabajo cualificado.

Tipo de test: un pentest externo de red, un pentest de aplicación web, un test de APIs, un pentest interno o una auditoría completa tienen alcances y metodologías muy diferentes.

Proveedor: una consultora boutique con tres pentesters senior no cobra lo mismo que una Big Four. Las boutiques suelen ofrecer mejor relación calidad-precio, las grandes consultoras aportan reconocimiento de marca para compliance.

Retesting: algunos proveedores incluyen una ronda de retesting (verificar que las vulnerabilidades se han corregido) en el precio. Otros lo cobran aparte. Pregunta siempre.

Requisitos de compliance: si necesitas el pentest para ISO 27001, NIS2 o ENS, el proveedor deberá ajustar su metodología y entregables a los requisitos específicos del estándar. Eso puede encarecer el servicio entre un 10% y un 30%.

---

Precios por tipo de pentesting en España

Estos son los rangos que hemos observado en el mercado español durante 2025 y 2026. Incluyen IVA aparte.

Pentest externo de red (infraestructura expuesta)

• Rango de precio: 2.500 - 8.000 EUR
• Alcance típico: escaneo de perímetro, entre 1 y 10 IPs o dominios expuestos a internet
• Duración: 3 a 5 días de trabajo efectivo
• Qué incluye: reconocimiento pasivo y activo, escaneo de puertos y servicios, identificación de vulnerabilidades conocidas, intentos de explotación, análisis de configuraciones de red, e informe con hallazgos, evidencias y recomendaciones de remediación

Es el pentest más común y el punto de partida para empresas que nunca han hecho una auditoría. Si tienes un servidor web, una VPN y un par de servicios expuestos, un pentest externo básico cuesta entre 2.500 y 4.000 EUR. Si tu perímetro incluye múltiples dominios, servicios cloud expuestos y aplicaciones legacy, espera pagar entre 5.000 y 8.000 EUR.

Pentest de aplicación web

• Rango de precio: 3.000 - 12.000 EUR
• Varía según: complejidad de la aplicación, número de roles de usuario, funcionalidades críticas (pagos, uploads, APIs internas)
• App sencilla (landing + login + dashboard básico): 3.000 - 5.000 EUR
• App media (e-commerce, SaaS con varios roles): 5.000 - 8.000 EUR
• App compleja (marketplace, fintech, multi-tenant con lógica de negocio avanzada): 8.000 - 12.000 EUR
• Qué incluye: testing completo de OWASP Top 10, pruebas de lógica de negocio, análisis de autenticación y autorización (auth/authz), inyecciones, XSS, CSRF, manejo de sesiones y configuración del servidor

La diferencia de precio entre una app sencilla y una compleja no es capricho. Una fintech con flujos de pago, KYC, múltiples roles y APIs internas requiere que el pentester entienda la lógica de negocio antes de poder testearla. Eso lleva tiempo, y el tiempo de un pentester senior cuesta dinero.

Pentest de APIs

• Rango de precio: 2.000 - 8.000 EUR
• Depende de: número de endpoints, complejidad de los flujos, autenticación y autorización
• APIs REST sencillas (CRUD básico, pocos endpoints): 2.000 - 4.000 EUR
• APIs complejas (múltiples roles, flujos encadenados, webhooks, integraciones externas): 5.000 - 8.000 EUR
• Qué incluye: análisis de autenticación (OAuth, JWT, API keys), testing de autorización entre roles, validación de inputs, rate limiting, exposición de datos sensibles, inyecciones, y pruebas contra el OWASP API Security Top 10

Si tienes una API pública o una API que conecta tu frontend con el backend, este test es imprescindible. Muchas empresas asumen que su API es segura porque "solo la usa nuestra app". Eso es exactamente lo que piensa un atacante antes de interceptar las peticiones.

Para más contexto sobre las herramientas de pentesting que usan los profesionales en estas auditorías, tenemos una guía separada.

Pentest interno (simula un atacante dentro de la red)

• Rango de precio: 5.000 - 15.000 EUR
• Requiere: acceso a la red interna, ya sea mediante VPN proporcionada por el cliente o presencia física del pentester en las oficinas
• Duración: 5 a 10 días de trabajo efectivo
• Qué incluye: escaneo de red interna, escalada de privilegios, movimiento lateral, ataques a Active Directory (Kerberoasting, Pass-the-Hash, Golden Ticket), identificación de segmentación deficiente, y acceso a recursos sensibles

Es el test que responde a la pregunta: "si un empleado descontento o un atacante que ha entrado por phishing tiene acceso a nuestra red, hasta dónde puede llegar?" En la mayoría de empresas que no han invertido en segmentación interna, la respuesta es: a todas partes. Y ese es precisamente el hallazgo más frecuente.

Auditoría completa (externo + interno + web + API)

• Rango de precio: 15.000 - 40.000+ EUR
• Alcance: cobertura total de la superficie de ataque, combinando los tipos anteriores
• Duración: 3 a 6 semanas
• Para quién: empresas que necesitan cobertura completa para compliance ISO 27001, NIS2, certificaciones sectoriales, o que manejan datos especialmente sensibles (salud, finanzas, infraestructura crítica)
• Qué incluye: todo lo anterior más un informe ejecutivo para dirección, informe técnico detallado, sesión de presentación de resultados, y una o dos rondas de retesting

Si tu empresa factura más de 5 millones de euros al año y maneja datos sensibles, una auditoría completa anual debería ser parte de tu presupuesto de seguridad. No es barata, pero una brecha de datos cuesta mucho más: la media en Europa supera los 4 millones de euros según los últimos informes del sector.

---

Pentesting automatizado: la alternativa para presupuestos ajustados

No todo el mundo puede gastar 8.000 EUR en un pentest manual cada trimestre. Y no todo el mundo necesita hacerlo. El pentesting automatizado llena el hueco entre auditorías manuales con un coste radicalmente menor.

Coste típico: 50 - 500 EUR/mes dependiendo del número de activos y la profundidad de escaneo.

Qué cubre: OWASP Top 10, CVEs conocidas, misconfiguraciones de servidores y cloud, certificados SSL, cabeceras de seguridad, y escaneo continuo o programado de tu superficie de ataque.

Qué NO cubre: lógica de negocio, cadenas de explotación complejas que requieren creatividad humana, ingeniería social, y ataques que necesitan contexto específico de tu aplicación.

Cuándo es suficiente:

• Entre pentests manuales, para mantener visibilidad continua
• Para integrar seguridad en tu pipeline de CI/CD
• Para startups pre-revenue que aún no pueden justificar un pentest manual completo
• Para monitorizar cambios en tu superficie de ataque semana a semana

Cuándo NO es suficiente:

• Cuando tu compliance exige explícitamente un pentest manual (ISO 27001 Anexo A, NIS2 en algunos sectores)
• Aplicaciones con lógica de negocio compleja (fintech, healthtech, marketplaces)
• Cuando necesitas un informe firmado por un pentester certificado para un cliente o auditor

Si te interesa profundizar en esta comparativa, tenemos un artículo dedicado a pentest manual vs automatizado con más detalle.

---

Cómo no pagar de más

El mercado del pentesting tiene un problema de transparencia. El mismo servicio puede costar 3.000 o 12.000 EUR dependiendo de cómo lo empaqueten. Estos consejos te ayudan a evitar pagar de más.

Define el alcance ANTES de pedir presupuesto. Si llegas a un proveedor diciendo "quiero un pentest", te van a presupuestar lo máximo posible. Si llegas con "quiero un pentest de mi aplicación web, tiene 3 roles de usuario, 45 endpoints de API, usa OAuth 2.0 y está en AWS", el presupuesto será ajustado a la realidad.

Pide desglose detallado. Un presupuesto serio debería incluir: días de testing, perfil del tester asignado (junior, senior, lead), metodología que van a seguir, entregables concretos, y si el retesting está incluido. Si el presupuesto es un PDF de una página con un precio final y nada más, desconfía.

Compara al menos 3 proveedores. Los precios de pentesting en España varían mucho. No te quedes con el primero. Pide tres presupuestos comparables (mismo alcance) y evalúa no solo precio sino calidad de la propuesta.

Pregunta por certificaciones del equipo. Un pentester con OSCP, CREST o eWPT no es lo mismo que alguien que aprendió la semana pasada a usar Burp Suite. Las certificaciones no lo son todo, pero son un mínimo de garantía. Pregunta quién va a hacer el trabajo real, no quién firma el informe.

Negocia el retesting. El retesting (verificar que has corregido las vulnerabilidades encontradas) debería estar incluido en el precio del pentest. Si te lo cobran aparte, negocia. Un pentest sin retesting es un trabajo a medias.

Cuidado con los "pentests" que son escaneos automatizados. Algunos proveedores ejecutan Nessus o Qualys, generan un PDF y lo venden como "pentest" por 2.000 - 3.000 EUR. Eso no es un pentest, es un escaneo de vulnerabilidades con un margen del 500%. Pregunta siempre qué porcentaje del trabajo es manual y qué porcentaje es automatizado.

---

Pentest manual o automatizado: la respuesta es ambos

No es una cuestión de elegir uno u otro. Es una cuestión de cuándo usar cada uno. El pentest manual te da profundidad. El automatizado te da frecuencia. Los dos juntos te dan cobertura real.

Recomendación de presupuesto por tamaño de empresa

Startup pre-revenue o en fase seed: plataforma de escaneo automatizado (~100 EUR/mes) + 1 pentest manual al año enfocado en tu producto principal (~3.000 - 5.000 EUR). Presupuesto anual total: ~4.200 - 6.200 EUR. Es suficiente para tener visibilidad continua y un punto de validación profunda antes de cerrar rondas o firmar clientes grandes.

PYME (20-100 empleados): plataforma automatizada + 2 pentests manuales al año, alternando entre web/API y externo de red. Presupuesto anual total: ~8.000 - 18.000 EUR. Cubre las necesidades de compliance básico y te da un ciclo de mejora medible.

Empresa mediana (100+ empleados): programa completo con escaneo automatizado continuo, pentests manuales trimestrales con rotación de alcance (Q1 web, Q2 interno, Q3 API, Q4 externo), y una auditoría completa anual si manejas datos sensibles o estás sujeto a NIS2. Presupuesto anual: 30.000 - 80.000 EUR.

Para un desglose más detallado de cuánto cuesta la gestión de vulnerabilidades como plataforma, incluyendo comparativas entre herramientas enterprise y soluciones para PYMEs, tenemos una guía específica.

---

Siguiente paso

Si estás evaluando opciones, empieza por lo que puedes hacer hoy. Vulnerabbit ofrece escaneo automatizado continuo de tu superficie de ataque externa, aplicaciones web, APIs y configuración cloud. No sustituye un pentest manual, pero te da visibilidad diaria por una fracción del coste.

Puedes revisar nuestros precios publicados (sin formularios de contacto, sin "habla con ventas") o ejecutar un escaneo gratuito de tu dominio en menos de dos minutos para ver qué encuentra.

Un pentest manual una o dos veces al año combinado con monitorización automatizada continua es la fórmula que mejor funciona para la mayoría de empresas. Lo primero te da profundidad. Lo segundo te asegura que nada se escape entre auditorías.