Berapa Biaya Pentest? Faktor yang Menentukan Harga & Rentang Pasar Indonesia

Pertanyaan “berapa biaya pentest” tidak punya satu angka, dan itu bukan trik vendor untuk menghindar — rentangnya memang lebar karena produk yang dijual berbeda dari ujung ke ujung. Yang wajar dipertanyakan justru penawaran yang terlalu murah: pekerjaan yang di pasar lazim bernilai belasan sampai puluhan juta tiba-tiba ditawar ratusan ribu (praktisi lokal menulis soal ini secara terbuka) — karena waktu penguat yang kompeten itu terbatas, harga nol-koma biasanya berarti scan otomatis yang dilaporkan seolah hasil uji manual.

Artikel ini memetakan dua hal yang benar-benar berguna sebelum Anda minta penawaran: dari mana harga itu dihitung (faktor yang bisa Anda kendalikan) dan rentang pasar Indonesia saat ini dengan sumbernya — bukan angka karangan.

Rentang pasar Indonesia (dengan sumber)

Angka di bawah adalah yang dipublikasikan penyedia/pengamat pasar, dikutip apa adanya dengan tanggalnya — bukan perkiraan kami:

Sumber (tanggal)	Rentang yang disebut
Kompasiana (Des 2023)	Rp20–100 juta umum di pasar Indonesia
Pilar Secure Solution (halaman layanan, diakses Sep 2026)	API Rp6–12 juta; full system mulai Rp20 juta
Mega Global Solusindo (Jul 2026)	API Rp10–30 juta; mobile Rp15–50 juta; enterprise Rp40 juta+
Widya Security (Okt 2025, dikutip di halaman perbandingan kami)	Rp10–100 juta+ tergantung kompleksitas

Pola yang konsisten di semua sumber: semakin sempit cakupan, semakin kecil angkanya — dan tidak ada sumber serius yang menjual pentest aplikasi web serius di bawah beberapa juta rupiah. Untuk pembanding internasional: panduan harga 2025–2026 dari vendor global menempatkan web application pentest sekitar US$4.000–30.000 (Uproot Security, 2026; Blaze Information Security, 2026) — relevan kalau Anda membandingkan penawaran dari luar negeri, dan penjelasan utamanya beda biaya hidup, bukan beda kualitas otomatis.

Enam faktor yang benar-benar menentukan harga

1. Cakupan (scope) — faktor terbesar. Satu aplikasi web dengan 20 halaman dan satu API berbeda pekerjaannya dari platform dengan 5 aplikasi, 50 endpoint API, dan integrasi pembayaran. Yang Anda hitung sebelum minta penawaran: berapa aplikasi, berapa kira-kira endpoint/fungsinya, ada API publik atau tidak.

2. Metodologi: manual vs otomatis. Scan otomatis murah karena mesin mengerjakan ratusan target sekaligus. Uji manual mahal karena orangnya memikirkan logika bisnis Anda: “bolehkah user A melihat invoice user B?” — pertanyaan yang tidak pernah bisa dijawab scanner. Mayoritas nilai pentest ada di bagian manual; tool otomatis hanya lantai dasarnya.

3. Kedalaman akses (blackbox/greybox/whitebox). Tanpa akses (blackbox) butuh waktu recon lebih lama; dengan akses kode + akun uji (whitebox) penguat langsung ke bagian berisiko. Whitebox biasanya lebih murah per cakupan yang sama — dan lebih menyeluruh — karena waktu tidak habis untuk menebak.

4. Lingkungan & kompleksitas. Aplikasi multi-role (admin, kasir, pelanggan) punya permukaan lebih luas daripada company profile. Integrasi pihak ketiga (payment gateway, WhatsApp API, SSO) menambah pekerjaan yang nyata.

5. Retest. Penawaran yang baik menyebut apakah pemeriksaan ulang setelah perbaikan termasuk. Retest itu pekerjaan nyata — kalaupun dihitung terpisah, harus ada di penawaran, bukan menghilang.

6. Format laporan & kebutuhan formal. Laporan untuk perbaikan oleh developer Anda berbeda dengan laporan untuk auditor ISO/regulator. Semakin formal, semakin banyak jam dokumentasi.

Tanda penawaran yang perlu Anda curigai

• Harga di bawah pasar tanpa penjelasan cakupan. Pertanyaan pembalas yang wajar: “apa saja yang dites, berapa lama, manualnya berapa persen?”
• Tidak mau menunjukkan contoh laporan (yang sudah disanitasi). Laporan adalah produk utamanya.
• “Pasti lolos / dijamin aman”. Pentest yang jujur menemukan sesuatu pada hampir semua sistem; jaminan nol temuan adalah tanda tidak akan dicari sungguhan.
• Cakupan tidak tertulis. Tanpa daftar target tertulis, “pentest” bisa berarti scan homepage.

Cara menakar kebutuhan Anda sebelum minta penawaran

Tiga pertanyaan ini mempersempit harga dalam satu percakapan, dan penjual yang baik akan mengucapkannya ke Anda lebih dulu:

1. Apa yang dilindungi? Website profil perusahaan, sistem yang memegang data pelanggan, dan aplikasi yang memproses pembayaran punya tingkat risiko — dan kedalaman pemeriksaan yang wajar — yang berbeda.
2. Untuk siapa hasilnya? Internal (perbaikan developer) vs formal (bank partner, ISO, tender) menentukan format dan kedalaman.
3. Kapan terakhir diperiksa? Belum pernah + memegang data sensitif = mulai dari audit menyeluruh; rutin setahun sekali = pemeriksaan perubahan (diff testing) yang lebih ringan.

Pertanyaan yang sering muncul

Kenapa pentest mahal padahal tool scannernya banyak yang gratis? Tool-nya memang gratis; yang dibayar adalah waktu orang yang tahu di mana sistem seperti Anda biasanya bocor, menafsirkan hasil (tool membanjiri false positive), dan menuliskan cara perbaikan yang bisa dieksekusi developer Anda.

Berapa kali setahun perlu pentest? Kebanyakan bisnis cukup satu audit menyeluruh, lalu pemeriksaan ringan setelah perubahan besar atau setahun sekali — kecuali ada pemberi syarat (bank, regulator) yang mensyaratkan frekuensi tertentu.

Pentest sekali selesai, atau perlu berlangganan? Sekali jalan adalah produk yang sah — keamanan berubah saat sistem berubah, bukan karena kalender. Langganan masuk akal untuk tim yang rutin merilis fitur; kalau sistem Anda jarang berubah, langganan adalah biaya tanpa nilai.

---

Kalau mau diskusi cakupan dulu sebelum bicara angka — justru itu cara yang benar — ceritakan sistem Anda lewat layanan audit keamanan atau halaman kontak. Konteks lain yang membantu: panduan checklist keamanan yang bisa Anda kerjakan sendiri, dan contoh hasil kerja audit yang berujung perbaikan nyata di studi kasus infrastruktur IAC.