Un audit di sicurezza di un sito web con COLONFILM costa 420 € per una valutazione delle vulnerabilità con verifica manuale, 850 € per un pentest manuale di un'applicazione web o 1710 € per un pentest di un'applicazione web e delle sue API.
In breve
- BASE include la scansione esterna e autenticata di un'applicazione web, con verifica manuale di ogni vulnerabilità rilevata.
- STANDARD aggiunge test manuali dell'applicazione per un massimo di due ruoli utente.
- PREMIUM include un'API con un massimo di 40 endpoint e una verifica successiva entro 30 giorni.
- Oltre al costo dei test, prevedi un budget per la preparazione interna e gli interventi degli sviluppatori.
Costo di un audit di sicurezza di un sito web nel 2026: i pacchetti pubblicati
Il punto di partenza più utile è un prezzo associato a un ambito di lavoro definito. Il servizio di COLONFILM Servizi di penetration testing (applicazioni web e API) distingue tra valutazione delle vulnerabilità, test manuali delle applicazioni e test congiunti di applicazioni e API. Questa distinzione ti mostra cosa comprende ogni prezzo e ti aiuta a confrontarlo con la domanda a cui la tua attività ha bisogno di rispondere.
| Pacchetto | Prezzo | Consegna | Ambito |
|---|---|---|---|
| BASE | 420 € | 3 giorni | Scansione esterna e autenticata di un'applicazione web; verifica manuale di ogni vulnerabilità rilevata; report con valutazione dei rischi e indicazioni per la correzione. |
| STANDARD | 850 € | 5 giorni | Penetration test manuale di un'applicazione web basato su OWASP Top 10 e sui controlli OWASP ASVS; fino a 2 ruoli utente; prove di fattibilità; sintesi per la direzione e report tecnico. |
| PREMIUM | 1710 € | 8 giorni | Tutto ciò che è incluso in STANDARD, più un'API REST o GraphQL con un massimo di 40 endpoint; test della logica di business e dei controlli degli accessi; indicazioni per la correzione destinate agli sviluppatori; una verifica successiva entro 30 giorni; lettera di attestazione che conferma ambito, date e risultati. |
Questi prezzi si riferiscono ai pacchetti COLONFILM indicati. Usali come opzioni di acquisto concrete, non come media di mercato. Per confrontare un altro preventivo, metti a confronto i sistemi esaminati, gli accessi, il lavoro manuale, le prove e le verifiche successive. Un prezzo diventa significativo quando entrambe le proposte descrivono lo stesso problema e prevedono risultati comparabili.
Cosa incide sul prezzo di un audit di sicurezza di un sito web?
Il primo fattore è la profondità dei test. Una valutazione combina scansione, verifica e definizione delle priorità. Un penetration test manuale esamina il comportamento dell'applicazione attraverso scenari concordati. Entrambi possono individuare problemi utili da conoscere, ma distribuiscono il lavoro in modo diverso. Scegli il livello di approfondimento che ti aiuta a prendere una decisione, per esempio stabilire le priorità tra le vulnerabilità note o esaminare i permessi prima del lancio per i clienti.
Il fattore successivo è la struttura dell'applicazione. Un sito pubblico, un portale con dati riservati e un'applicazione con diversi tipi di account pongono esigenze diverse in termini di ambito. Includi i flussi di lavoro più importanti: invitare colleghi, approvare transazioni, esportare dati o caricare documenti. Spesso sono più indicativi del numero di schermate.
La copertura delle API aggiunge un ulteriore livello. L'interfaccia può sembrare semplice, pur basandosi su molte operazioni eseguite dietro le quinte. Un inventario degli endpoint aiuta a stabilire quali interfacce rientrano nel progetto. Per GraphQL, concorda come verranno conteggiate le operazioni pertinenti, in modo che il limite del pacchetto corrisponda a una quantità di lavoro ben definita.
Cosa comprende la valutazione delle vulnerabilità BASE?
BASE costa 420 € e viene consegnato in tre giorni. Comprende la scansione esterna e autenticata di un'applicazione web, la verifica manuale di ogni vulnerabilità rilevata e un report che valuta i rischi e spiega come correggerli. Account adeguati permettono di includere nella valutazione le aree riservate concordate, oltre a quelle pubbliche.
Questo pacchetto può essere adatto a chi ha bisogno di una panoramica delle vulnerabilità ordinate per priorità prima di organizzare il lavoro di sviluppo. Nel caso ipotetico di un piccolo portale clienti, l'obiettivo immediato potrebbe essere stabilire quali problemi segnalati sono effettivamente presenti e quali affrontare per primi. Il risultato è un insieme utilizzabile di osservazioni verificate e raccomandazioni.
Prima di iniziare, prepara un elenco delle aree dell'applicazione e conferma gli accessi. Alla consegna, controlla che ogni problema rilevato indichi il componente interessato, la sua rilevanza e l'azione successiva. Chiedi al tuo sviluppatore di stimare gli interventi sulla base di questi dettagli. In questo modo colleghi concretamente il costo della valutazione alle risorse necessarie in seguito.
Quando vale la pena scegliere l'ambito più ampio del pentest STANDARD?
STANDARD costa 850 € e viene consegnato in cinque giorni. Include test manuali basati su OWASP Top 10 e sui controlli OWASP ASVS, fino a due ruoli utente, prove di fattibilità, una sintesi per la direzione e un report tecnico. Sceglilo quando la domanda principale riguarda il comportamento dell'applicazione e dei suoi controlli durante un esame manuale.
Per esempio, un'ipotetica piattaforma di servizi potrebbe prevedere ruoli per clienti e personale. Il proprietario vuole capire se ogni ruolo è limitato alle informazioni e alle azioni previste. Spiegare questo modello di permessi aiuta a definire la valutazione. L'ambito dei test manuali e le prove raccolte diventano così i motivi per scegliere questo pacchetto.
La OWASP Web Security Testing Guide è un riferimento per i test strutturati di sicurezza web. Quando esamini un preventivo, chiedi al fornitore di indicare i controlli effettivi e le aree dell'applicazione che intende coprire. Questo confronto trasforma il metodo in un ambito di lavoro che puoi valutare e per cui puoi definire un budget.
Cosa aggiunge PREMIUM al pentest di applicazioni web e API
PREMIUM costa 1710 €, viene consegnato in otto giorni e include tutto ciò che è previsto in STANDARD. Aggiunge un'API REST o GraphQL con un massimo di 40 endpoint, test della logica di business e dei controlli degli accessi, indicazioni per la correzione destinate agli sviluppatori, una verifica successiva entro 30 giorni e una lettera che conferma l'ambito, le date e i risultati del test.
È particolarmente adatto quando la tua applicazione e le sue API fanno parte di un unico percorso del cliente. Pensa a un ipotetico sistema di ordini in cui il browser mostra una richiesta, l'API ne modifica lo stato e un account del personale la approva. Mappare il flusso di lavoro aiuta a individuare le interfacce e i permessi da includere nell'incarico.
La verifica successiva incide anche sulla pianificazione del progetto. Riserva ai tuoi sviluppatori il tempo necessario per apportare le correzioni prima della verifica inclusa. Mantieni un elenco delle modifiche collegato ai problemi inizialmente rilevati e indica dove sono state rilasciate. La lettera di attestazione fornisce poi una sintesi dell'incarico da affiancare alla documentazione tecnica dettagliata.
Definisci il budget complessivo del progetto in base alle responsabilità
Tieni separato il costo dei test da quelli di preparazione e implementazione. All'interno del team, qualcuno dovrà descrivere il sistema, predisporre gli accessi, rispondere alle domande, ricevere il report e coordinare gli sviluppatori. Assegnare queste attività a persone precise aiuta il progetto a procedere. Anche quando l'ambito acquistato è definito, il tuo team ha comunque bisogno di tempo per sfruttarne i risultati.
Il lavoro di correzione dipende dai problemi rilevati e dalla tua applicazione. Modificare una configurazione e riprogettare i permessi sono interventi diversi. Chiedi agli sviluppatori di stimare le modifiche necessarie dopo aver esaminato le prove. Indica quali interventi sono essenziali prima del prossimo rilascio e quali miglioramenti possono entrare nella normale programmazione dello sviluppo.
Un budget semplice comprende tre voci: il pacchetto di test scelto, il tempo di coordinamento interno e gli interventi degli sviluppatori. Aggiungi eventuali lavori sull'infrastruttura o affidati a terzi, concordati separatamente, solo quando sono pertinenti. Questo ti aiuta a prendere decisioni concrete e a non considerare un carico di correzioni future ancora sconosciuto come già incluso nel prezzo pubblicato dei test.
Come confrontare in modo equo i preventivi per un audit di sicurezza
Invia a ogni fornitore la stessa descrizione dell'applicazione e chiedi un ambito di lavoro scritto. Confronta la copertura delle aree pubbliche e riservate, i ruoli, le API, i test manuali, i report e le verifiche successive. Esamina poi i tempi di consegna. Anche un listino breve può essere chiaro se risponde a questi punti; una proposta lunga deve contenere gli stessi dettagli pratici.
Usa una semplice tabella comparativa con una riga per ogni requisito e una colonna per ogni fornitore. Indica se ogni voce è inclusa, ha un prezzo separato o richiede chiarimenti. Così puoi vedere facilmente perché due totali differiscono. Aiuta anche chi approva il budget a capire le ragioni della tua raccomandazione.
Valuta il report come uno strumento di lavoro. Chiedi uno schema che mostri i risultati per la direzione, le prove tecniche, le priorità e le indicazioni per la correzione. Se un cliente ha richiesto un documento specifico, condividi la richiesta prima di ordinare. Per una valutazione più ampia dei fornitori, leggi anche la guida alla scelta di un servizio di audit di sicurezza per siti web.
Prepara la valutazione e rispetta i tempi di consegna
Prima dell'avvio, prepara gli account di test, i dettagli dell'ambiente, una matrice dei ruoli e l'inventario delle API. Preferisci un ambiente di staging e descrivi eventuali differenze rispetto alla produzione. Individua un referente operativo che possa rispondere alle domande o sospendere le attività quando necessario. Questi preparativi riducono i ritardi evitabili e permettono di concentrare l'incarico sui test concordati.
Concorda la data di inizio in base al grado di preparazione. I tempi di consegna pubblicati per i pacchetti sono di tre, cinque e otto giorni; nel calendario complessivo devi prevedere anche il tempo per fornire informazioni e intervenire sui risultati del report. Se hai una scadenza esterna, comunica al fornitore cosa deve essere pronto per quella data e chi lo esaminerà.
Coordina le modifiche all'applicazione durante la valutazione. Se è necessario un rilascio, registra la versione e le funzionalità interessate. Alla consegna, confronta l'ambito del report con l'inventario concordato e assegna ogni problema rilevante a un responsabile. Per PREMIUM, inserisci nello stesso calendario la verifica successiva entro la finestra di 30 giorni.
Usa il report per definire facilmente il budget
Chiedi al tuo team di sviluppo di classificare ogni problema confermato in base al componente coinvolto e al tipo di correzione necessaria. Una dipendenza condivisa può essere all'origine di diverse osservazioni, mentre un problema di permessi può coinvolgere più flussi di lavoro. Capire queste relazioni aiuta il team a stimare attività coerenti ed evitare di trattare ogni voce del report come un intervento a sé.
Collega la stima a una modifica specifica proposta e al suo responsabile. Se una decisione dipende da un altro fornitore, registra questa dipendenza e chiedi il suo contributo. In questo modo chi approva le correzioni ottiene una visione utile del lavoro da svolgere ed è più facile coordinare gli interventi scelti per la verifica successiva inclusa in PREMIUM.
Scegli il pacchetto in base alla domanda a cui vuoi rispondere
Considera tre acquisti ipotetici. Il proprietario di una piccola applicazione ha bisogno di vulnerabilità verificate e di un elenco di interventi di sviluppo ordinati per priorità: BASE risponde a questa esigenza. Un team vuole un esame manuale di un'applicazione con due ruoli: STANDARD offre il livello di approfondimento indicato. Un'azienda ha bisogno di valutare insieme applicazione e API, con una verifica successiva alle correzioni: PREMIUM è la scelta adatta.
Questi esempi aiutano a prendere una decisione e non descrivono risultati ottenuti da clienti. Le tue esigenze potrebbero far emergere altri ruoli, sistemi o operazioni che richiedono un ambito diverso da concordare. Comunicali prima dell'acquisto. Scegliere un pacchetto è più facile quando entrambe le parti possono fare riferimento allo stesso inventario e spiegare a quali domande risponderà il report finale.
COLONFILM è lo studio di David Colón e Flor a Saragozza, in Spagna, e utilizza agenti di intelligenza artificiale con supervisione umana. Esamina i pacchetti di penetration testing e i risultati previsti tenendo pronta la descrizione della tua applicazione. Potrai così definire il budget per un incarico preciso, preparare gli accessi necessari e dare ai tuoi sviluppatori indicazioni chiare su come usare i risultati.
FAQ
Qual è il prezzo di partenza per un audit di sicurezza di un sito web?
BASE costa 420 € e viene consegnato in tre giorni. Include la scansione esterna e autenticata di un'applicazione web, la verifica manuale di ogni vulnerabilità rilevata e un report con valutazione dei rischi e indicazioni per la correzione. È il pacchetto base pubblicato per una valutazione delle vulnerabilità con verifica manuale.
Quanto costa un pentest manuale di un'applicazione web?
STANDARD costa 850 € e viene consegnato in cinque giorni. Comprende controlli basati su OWASP Top 10 e OWASP ASVS, fino a due ruoli utente, prove di fattibilità, una sintesi per la direzione e un report tecnico. Descrivi i ruoli e le funzioni della tua applicazione prima di ordinare.
Quale prezzo include i test delle API e una verifica successiva?
PREMIUM costa 1710 €, viene consegnato in otto giorni e include un'API REST o GraphQL con un massimo di 40 endpoint, oltre a tutto ciò che è previsto in STANDARD. Aggiunge test della logica di business e dei controlli degli accessi, indicazioni per gli sviluppatori, una verifica successiva entro 30 giorni e la lettera di attestazione.
Devo riservare un budget separato per le modifiche al codice?
Sì. Affida gli interventi ai tuoi sviluppatori e chiedi una stima basata sui problemi rilevati. Il pacchetto comprende la valutazione e il report indicati; PREMIUM include anche indicazioni per la correzione destinate agli sviluppatori. Pianifica le correzioni con sufficiente anticipo per usufruire della verifica successiva inclusa in PREMIUM entro la finestra di 30 giorni.
Quali autorizzazioni e garanzie sono previste per i test?
Il proprietario del sistema deve firmare un'autorizzazione scritta e concordare l'ambiente da esaminare, preferibilmente di staging. Sono esclusi i test di ingegneria sociale e quelli di tipo denial-of-service. La valutazione riporta i risultati relativi all'ambito e al periodo concordati; non garantisce una sicurezza completa. La lettera PREMIUM conferma ambito, date e risultati.