Ile kosztuje test penetracyjny? Rynkowe widełki i to, co na nie wpływa.
Cena pentestu zależy przede wszystkim od zakresu: liczby ról w aplikacji, endpointów API albo hostów w sieci. Zebraliśmy typowe ceny z cenników i ofert polskich firm z 2026 roku, żebyś wiedział, czego się spodziewać, zanim poprosisz o wycenę.
Paweł Mierzwa, CTO, CEO, Security ArchitectZaktualizowano
Typowe ceny testów penetracyjnych w Polsce
| Rodzaj testu | Typowa cena netto | Typowy czas pracy |
|---|---|---|
| Aplikacja webowa, mała (bez logowania albo jedna rola) | 6 000 do 15 000 zł | 3 do 5 dni |
| Aplikacja webowa, średnia (dwie, trzy role i panel administratora) | 14 000 do 25 000 zł | 5 do 10 dni |
| Aplikacja webowa, duża (wiele ról, white box, integracje) | 25 000 do 45 000 zł i więcej | 10 do 20 dni |
| API | 5 000 do 20 000 zł, przy wielu rolach do około 30 000 zł | 2 do 5 dni |
| Aplikacja mobilna | 10 000 do 20 000 zł za jedną platformę, 14 000 do 30 000 zł za iOS i Android | 4 do 12 dni |
| Infrastruktura zewnętrzna | 4 000 do 12 000 zł do około 20 adresów IP, 12 000 do 27 000 zł powyżej 50 | 3 do 7 dni |
| Sieć wewnętrzna z Active Directory | 15 000 do 35 000 zł do około 250 hostów, więcej przy większych sieciach | 5 do 12 dni |
| Symulacja phishingu (około 100 osób) | 4 000 do 15 000 zł | 2 do 3 tygodni kampanii |
Widełki na podstawie publicznych cenników i artykułów polskich firm pentesterskich z 2026 roku. Pojedyncze oferty wykraczają poza nie w obie strony. To nie jest nasz cennik.
Stawka dzienna pentestera
Większość wycen to liczba osobodni pomnożona przez stawkę. W polskich firmach dzień pracy doświadczonego pentestera kosztuje zwykle od 2 000 do około 3 800 zł netto.
Dlatego dwie oferty na „pentest aplikacji” potrafią różnić się kilkukrotnie. Zanim porównasz ceny, porównaj liczbę dni i zakres: co dokładnie zostanie przetestowane i jaką metodą.
Od czego zależy cena pentestu
Liczba ról i uprawnień
Każda rola w aplikacji to osobny zestaw testów, w tym sprawdzenie, czy użytkownik nie dostanie się do danych innej roli.
Wielkość zakresu
Liczba ekranów, formularzy i endpointów API albo adresów IP i hostów w sieci.
Black, grey czy white box
Test bez wiedzy o systemie, z kontem użytkownika albo z dostępem do kodu i dokumentacji. White box trwa najdłużej, grey box to najczęstszy standard.
Środowisko i terminy
Testy na produkcji, praca poza godzinami albo pilny termin podnoszą cenę.
Wymagania zgodności
Raport mapowany na OWASP ASVS, PCI DSS, DORA albo ISO 27001 czy osobne podsumowanie dla zarządu to dodatkowa praca.
Retest
Sprawdzenie poprawek bywa w cenie, a bywa płatne osobno, zwykle 15 do 30% ceny testu.
Pentest, skan podatności czy audyt
| Usługa | Co sprawdza | Kiedy wybrać |
|---|---|---|
| Skan podatności | Automatyczne wyszukiwanie znanych podatności i błędów konfiguracji | Regularnie, jako higiena między testami |
| Test penetracyjny | Ręczna próba włamania: łańcuchy podatności, logika biznesowa, eskalacja uprawnień | Przed wdrożeniem, po dużych zmianach, co najmniej raz w roku |
| Audyt bezpieczeństwa | Procesy, konfiguracje i dokumentacja względem norm i przepisów | Przed audytem KSC lub certyfikacją albo gdy nie wiesz, od czego zacząć |
Jak nie przepłacić i nie kupić za mało
Precyzyjny zakres
Lista ról, adresów, endpointów i środowisk w zapytaniu ofertowym pozwala porównać oferty jeden do jednego.
Praca ręczna, nie tylko skaner
Sam raport ze skanera to nie pentest. Zapytaj, ile dni zajmą testy manualne.
Retest w cenie
Bez retestu nie wiesz, czy poprawki zadziałały. U nas retest jest bezpłatny.
Przykładowy raport
Poproś o zanonimizowany raport. Zobaczysz, czy znaleziska mają opis odtworzenia i konkretne zalecenia.
Najczęstsze pytania o koszt pentestu
Ile kosztuje najtańszy pentest?
Proste testy, na przykład kilku adresów IP albo małej aplikacji bez logowania, zaczynają się od kilku tysięcy złotych. Bardzo niska cena zwykle oznacza bardzo krótki test albo sam skan automatyczny.
Jak często robić testy penetracyjne?
Co najmniej raz w roku oraz po każdej dużej zmianie: nowej wersji aplikacji, migracji do chmury, nowej integracji. Firmom objętym ustawą o KSC wyniki testów przydadzą się też jako dowód skuteczności zabezpieczeń.
Ile trwa test penetracyjny?
Od kilku dni dla małej aplikacji albo kilku adresów IP do kilku tygodni dla dużych systemów. Do tego czas na raport i retest.
Ile kosztuje pentest u Was?
Wycenę przygotowujemy po poznaniu zakresu: liczby ról, endpointów i środowisk. Opisz swój system, a odpowiemy konkretną kwotą.
Poproś o wycenę pentestu
Opisz aplikację: liczbę ról, endpointów i środowisk. Przygotujemy wycenę z zakresem i liczbą dni.
Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com