Cuando una empresa chilena decide contratar un pentesting por primera vez, la pregunta inevitable es: “¿Cuánto debería costar esto?”. La respuesta honesta es que los precios varían mucho, y entender por qué te ayuda a no pagar de más ni contratar algo que no sirve.
Rangos de mercado en Chile (2026)
Estos son rangos orientativos del mercado local. No son precios de lista de Asentic ni de ningún proveedor específico, sino estimaciones basadas en el tipo de trabajo que cada modalidad implica.
| Modalidad | Rango (CLP) |
|---|---|
| Pentesting web básico | $500.000 – $1.500.000 |
| Pentesting web completo | $1.500.000 – $4.000.000 |
| Pentesting de infraestructura | $2.000.000 – $8.000.000 |
| Pentesting WiFi corporativa | $800.000 – $2.000.000 |
| Red Team / adversary simulation | $5.000.000 en adelante |
El “básico” y el “completo” pueden parecer el mismo producto, pero no lo son. La diferencia está en la profundidad del trabajo manual.
Qué determina el precio
1. Alcance
El factor más importante. Un pentesting a una aplicación web con 5 funcionalidades y un tipo de usuario es radicalmente distinto a una aplicación con autenticación, roles, APIs, integraciones con terceros y lógica de negocio compleja.
Antes de pedir una cotización, define: - ¿Qué sistemas están incluidos? (URLs, IPs, aplicaciones) - ¿Desde qué perspectiva? (externo sin credenciales, con credenciales de usuario, con credenciales de administrador) - ¿Hay restricciones de horario o de técnicas permitidas?
2. Profundidad del trabajo manual
Aquí está la diferencia real entre proveedores. Un scanner automático como Nessus o Burp Scanner puede procesar un sitio en minutos. Lo que no puede hacer es: - Entender la lógica de negocio de tu aplicación - Construir una cadena de ataque que combina tres vulnerabilidades menores para lograr algo crítico - Distinguir un falso positivo de un hallazgo real - Verificar si una vulnerabilidad es efectivamente explotable en tu entorno
El trabajo manual calificado lleva horas. Esas horas se reflejan en el precio.
3. Entregable
Un informe que lista vulnerabilidades sin contexto vale poco. Un informe útil incluye: - Evidencia (capturas, logs, peticiones HTTP completas) - Clasificación de severidad con justificación (CVSS u otro estándar) - Descripción del impacto real para tu organización - Plan de remediación priorizado y accionable - Verificación de remediaciones (retest)
El retest es particularmente importante y muchos presupuestos económicos no lo incluyen.
La trampa del scanner disfrazado de pentest
Existe un servicio que se vende como pentesting pero que en la práctica es un reporte de scanner automático con portada corporativa. Suele costar entre $200.000 y $500.000 CLP, promete una lista larga de “vulnerabilidades” y se entrega en 48 horas.
El problema: los scanners automáticos tienen tasas de falsos positivos altas (pueden reportar vulnerabilidades que no existen) y tasas de falsos negativos significativas (no detectan lógica de negocio rota, problemas de control de acceso complejos ni vulnerabilidades que requieren entendimiento del contexto). Un buen pentester usa los scanners como punto de partida, no como el entregable.
Cómo distinguirlo: pide que te expliquen la metodología, cuántas horas de trabajo manual incluye y si el retest está incluido. Si las respuestas son vagas, probablemente estás comprando un scanner.
Cuándo vale la pena invertir más
No todas las empresas necesitan el mismo nivel de pentesting. Una pyme con un sitio WordPress informacional tiene necesidades distintas a una fintech que procesa pagos.
Invertir en un pentesting más completo tiene sentido cuando: - Manejas datos sensibles (datos de salud, datos financieros, RUTs y credenciales a escala) - Estás bajo la Ley 21.663 de ciberseguridad (infraestructura crítica, servicios esenciales) - Tienes obligaciones bajo la Ley 21.719 de datos personales y necesitas demostrar diligencia debida - Vas a lanzar una nueva aplicación pública o API - Tu sector exige evidencia de pruebas (banca, salud, retail con pagos en línea)
Si recién estás comenzando a evaluar la postura de seguridad de tu sitio, una opción de partida es un diagnóstico gratuito con FreeScan: analiza los controles de seguridad web básicos (headers, TLS, cookies, configuración) y entrega un informe con hallazgos y recomendaciones sin costo.
Qué pedir en una cotización
Cuando evalúes propuestas, solicita:
- Metodología: ¿OWASP WSTG, PTES, OSSTMM? ¿Caja negra, gris o blanca?
- Horas de trabajo: ¿Cuántas horas de trabajo manual están incluidas?
- Entregable: ¿Qué secciones tiene el informe? ¿Incluye evidencia?
- Retest: ¿Está incluido o tiene costo adicional? ¿Cuántas remediaciones verifica?
- Referencia de trabajos anteriores: ¿Pueden compartir un informe de muestra (anonimizado)?
Una empresa seria puede responder todas estas preguntas con claridad. Si la respuesta es evasiva en alguna de ellas, es una señal de alerta.
El costo de no hacer un pentesting
Vale la pena mencionar el lado opuesto. Una brecha de seguridad en una empresa que maneja datos personales puede implicar: - Multas bajo la Ley 21.719 de hasta 10.000 UTM (~$700 millones CLP) para infracciones gravísimas - Daño reputacional medible en pérdida de clientes - Costos de respuesta a incidentes (forense, contención, notificación) - Tiempo de inactividad y pérdida de negocio
En ese contexto, un pentesting bien hecho no es un gasto: es una inversión con retorno claro.
Si quieres evaluar la postura de seguridad de tu sitio antes de contratar un pentesting completo, FreeScan entrega un diagnóstico gratuito en minutos. Si necesitas un pentesting formal con informe, contáctanos.
