¿Cuánto cuesta un pentest en Chile? Precios y factores en 2026

Si estás pidiendo cotizaciones de pentest, probablemente ya notaste que los precios varían muchísimo: desde un poco más de un millón de pesos hasta decenas de millones por algo que parece “lo mismo”. La diferencia casi nunca es arbitraria. Depende del alcance, de cuánto trabajo es manual y de lo que se entrega al final.

Esta guía resume los rangos que se ven en el mercado en 2026 y cómo comparar propuestas sin caer en la más barata ni en la más cara por inercia.

Rangos de precio en 2026

Según los precios publicados por proveedores en Chile y la región:

Tipo de servicio	Rango habitual
Pentest web básico, segmento económico	Desde ~25 UF + IVA
Pentest de una aplicación pequeña (1–2 apps, pocos endpoints)	USD 3.000–6.000
Pentest de infraestructura mediana	USD 15.000–25.000
Alcance completo (varias apps, infraestructura, ingeniería social)	USD 30.000–50.000 o más
Pentest automatizado o con AI (plataformas globales)	USD 3.500–8.000 por test
Pentest continuo (PTaaS), plataformas globales	USD 20.000–100.000 o más al año

En México, Colombia y Argentina los rangos para una aplicación web van, en general, desde USD 1.500 hasta USD 10.000, según el alcance.

Estas cifras son orientativas: casi todas vienen de páginas comerciales. La única forma de comparar de verdad es pedir varias cotizaciones con exactamente el mismo alcance.

Qué hace que un pentest cueste más (o menos)

Alcance. Cuántas aplicaciones, APIs, endpoints y roles de usuario hay que probar. Cada rol adicional multiplica los escenarios de autorización.
Modalidad. Caja negra (sin información), gris (con cuentas de prueba y documentación) o blanca (con acceso al código). La gris suele ser la que más valor entrega por peso.
Cuánto es manual. Un escaneo automático con un reporte bonito es barato. Las pruebas manuales de lógica de negocio y autorización toman días de un profesional, y es ahí donde aparecen los hallazgos graves.
Complejidad. Multi-tenant, SSO, pagos, flujos de aprobación o integraciones con terceros requieren más tiempo.
Entregables. Reporte técnico y ejecutivo, corrección por hallazgo, mapeo a normativas (Ley 21.663, Ley 21.719, ISO 27001, SOC 2) y retest.
Urgencia. Entregas en menos de dos semanas suelen tener recargo.

Cómo comparar cotizaciones

Pide a cada proveedor que responda lo mismo:

Días de testing y cuántos son manuales.
Qué se prueba: OWASP Top 10, API Security Top 10, lógica de negocio y autorización entre usuarios.
Un reporte de ejemplo. Es el mejor indicador de calidad: ¿cada hallazgo trae evidencia, impacto y una corrección concreta?
Condiciones del retest: cuántos, en qué plazo y si incluyen una carta con el estado final de cada hallazgo.
Quién hace las pruebas y qué experiencia o certificaciones tiene el equipo.
Contrato y autorización: alcance por escrito, ventana de pruebas, IPs de origen y contactos de emergencia.

Señales de alerta

Precio muy bajo con plazo de uno o dos días para una aplicación con varios roles: casi seguro es un escaneo automático.
No te piden una autorización firmada ni definen el alcance por escrito.
No muestran un reporte de ejemplo o el ejemplo es una exportación de una herramienta.
El reporte lista problemas sin decir cómo corregirlos.
No incluye retest: sin él no tienes evidencia de que las correcciones funcionaron.

Pentest puntual o continuo

Un pentest puntual es una foto de un momento. Si tu aplicación cambia cada semana, a los tres meses esa foto ya no representa lo que está en producción. Para equipos que publican seguido, un pentest continuo (PTaaS) combina pentests manuales periódicos con monitoreo automatizado y retest ilimitado, y suele salir más barato por día de trabajo que contratar varios pentests sueltos.

En resumen

Un buen pentest no se mide por la cantidad de hallazgos ni por el número de páginas del reporte, sino por si tu equipo puede corregir lo importante y demostrar que lo hizo. Compara alcances idénticos, pide un reporte de ejemplo y desconfía de lo que parece demasiado barato para el tiempo que promete.