Biaya Pentest Aplikasi: Apa yang Menentukan Harga dan Kapan Scan Otomatis Sudah Cukup

"Berapa biaya pentest aplikasi saya?" adalah pertanyaan yang paling sering masuk ke kami — dan pertanyaan itu tidak punya satu jawaban. Bukan karena vendornya mau menyembunyikan angka, tapi karena penetrasi testing adalah jasa berbasis waktu manusia, bukan produk yang bisa ditimbang per kilogram.

Artikel ini tidak menjual angka pasar. Yang kami lakukan: membedah komponen yang membuat dua penawaran untuk aplikasi yang "sama" bisa berbeda jauh, menunjukkan kapan Anda belum perlu membayar penuh, dan menyebut batas alat otomatis secara jujur. Tujuannya sederhana — supaya Anda tahu apa yang sedang dibeli, bukan sekadar paling murah.

Kenapa tidak ada harga tunggal untuk pentest

Vendor pentest menghitung pekerjaan dalam satuan hari-kerja penguji: berapa hari, berapa orang, seberapa dalam. Harga akhirnya adalah hasil kali dari lingkup, metode, dan kedalaman — ditambah dokumen yang diminta. Karena itu, ketika dua penawaran berbeda 3× untuk "aplikasi yang sama", biasanya yang berbeda bukan tarifnya, tapi apa yang sebenarnya dikerjakan di dalamnya.

Hal yang sama berlaku sebaliknya: penawaran paling murah sering berarti salah satu komponen dipotong tanpa diberitahu — retest tidak termasuk, eksploitasi berhenti di "indikasi", atau laporan tidak memuat bukti request/response.

Enam hal yang menentukan besarnya penawaran

1. Luas permukaan yang diuji. Menghitung jumlah halaman saja tidak cukup. Yang dihitung adalah endpoint API, jumlah peran pengguna (admin, staf, pelanggan), alur integrasi (pembayaran, email, penyimpanan file), dan apakah ada aplikasi mobile.
2. Metode akses. Black box (tanpa informasi) paling lambat karena penguji harus memetakan sendiri. Grey box (diberi akun uji) lebih cepat. White box (diberi akses kode) memindahkan sebagian pekerjaan ke pembacaan kode — lebih efisien menemukan logika bisnis, tapi menambah jam review.
3. Kedalaman pembuktian. Membuktikan sebuah temuan ada jauh lebih cepat daripada membuktikan dampaknya. Menyusun rantai eksploitasi sampai data pelanggan benar-benar bisa diambil butuh waktu berkali lipat.
4. Tim dan durasi. Jumlah penguji, pengalaman, dan sertifikasi (misal OSCP/OSWE) memengaruhi tarif harian. Pengujian 3 hari oleh 1 orang bukan versi murah dari 10 hari oleh 2 orang — cakupannya memang berbeda.
5. Deliverable. Laporan eksekutif untuk manajemen, laporan teknis dengan bukti, pemetaan ke CWE/CVSS, sesi penjelasan, dan retest setelah perbaikan. Retest bukan formalitas: tanpa itu, Anda tidak punya bukti bahwa perbaikan benar-benar menutup temuan.
6. Kebutuhan kepatuhan. Jika hasilnya dipakai untuk audit (ISO 27001, PCI DSS, permintaan vendor enterprise), dokumen dan atestasinya menambah pekerjaan — dan biaya.

Kapan scan otomatis sudah cukup

Untuk banyak aplikasi kecil dan menengah, pertanyaan sebenarnya bukan "pentest atau tidak", melainkan "apakah saya sudah tahu celah yang paling mungkin ada". Di situ, pemindaian otomatis sering sudah memberi nilai besar dengan biaya jauh lebih kecil:

• Aplikasi internal atau tahap pra-rilis yang belum memegang data pembayaran pelanggan.
• Tim kecil tanpa anggaran khusus keamanan, tapi perlu baseline sebelum diluncurkan.
• Kebutuhan berulang: setiap kali ada perubahan kode, ingin ada pemeriksaan yang konsisten — sesuatu yang mahal dilakukan dengan pentest manual tiap minggu.
• Butuh bukti perbaikan dari waktu ke waktu (temuan turun, bukan hanya "sudah feeling aman").

Ada pula kelas temuan yang hanya bisa dilihat kalau kode ikut dibaca — rahasia yang tertanam di source, konfigurasi yang ikut ter-deploy, izin basis data yang terlalu longgar. AISG memindai kode secara lokal di mesin Anda untuk kelas temuan ini, lalu memeriksa permukaan publik (header, TLS, CORS, jalur seperti .env yang terbuka). Detail pemeriksaannya ada di artikel free scan URL.

Batasnya harus disebut terang-terangan: scan otomatis tidak menyusun rantai eksploitasi, tidak membuktikan dampak bisnis sebuah celah, dan tetap menghasilkan temuan yang perlu divalidasi manusia. Temuan adalah indikasi, bukan bukti eksploitasi.

Kapan pentest manusia justru jangan dihemat

• Aplikasi memproses pembayaran, kredensial, atau data pribadi dalam jumlah berarti.
• Model multi-penyewa (multi-tenant), di mana satu kesalahan izin bisa membuka data pelanggan lain.
• Klien enterprise mensyaratkan bukti pengujian pihak ketiga sebelum kontrak.
• Baru saja terjadi insiden — Anda butuh tahu bagaimana penyerang masuk, bukan hanya daftar temuan.
• Ada kewajiban regulasi atau standar yang menyebut pentest secara eksplisit.

Urutan hemat: empat langkah sebelum mengeluarkan uang

1. Periksa permukaan publik dulu. Sebelum bayar apa pun, jalankan free URL scan AISG — tanpa akun. Tujuh kelompok pemeriksaan: TLS, header keamanan, CORS, jalur terbuka, aset, rahasia inline di HTML/JS, dan konfigurasi email (SPF/DMARC). Jika di sini sudah ada temuan berat, tidak ada gunanya memesan pentest sebelum diperbaiki.
2. Pindai kode secara lokal. Paket Community gratis: 3 sensor (SAST, secrets, data-layer), 2 scan per bulan, laporan ringkas. Hasilnya menunjukkan apakah ada rahasia yang tertanam di kode atau konfigurasi yang terlalu terbuka.
3. Perbaiki yang critical/high, lalu rotasi rahasianya. Kunci yang pernah bocor harus dianggap bocor selamanya — menghapus dari kode saja tidak cukup. Simpan laporan sebelum/sesudah sebagai bukti.
4. Baru sewa pentest dengan lingkup sempit dan jelas. Kirim daftar URL, akun uji untuk tiap peran, dan tujuan pengujian. Lingkup yang rapi membuat penawaran turun karena penguji tidak lagi menghabiskan hari pertama untuk memetakan aplikasi.

Tujuh pertanyaan yang harus Anda ajukan ke vendor

1. Berapa endpoint dan berapa peran pengguna yang dicakup, dan apa yang di luar lingkup?
2. Metode apa yang dipakai — black, grey, atau white box?
3. Siapa yang mengerjakan, dan pengalaman apa yang bisa dibuktikan?
4. Apakah pengujian berhenti di indikasi, atau sampai bukti dampak?
5. Retest setelah perbaikan termasuk? Berapa kali?
6. Deliverable-nya apa saja, dalam bahasa apa, dan apakah memuat bukti teknis?
7. Asumsi apa yang mereka pakai — dan apa yang membuat penawaran bisa membengkak di tengah jalan?

Angka di AISG, supaya Anda punya pembanding

Kami sebut apa adanya karena inilah produk yang kami jual:

• Community — Rp 0. 2 scan/bulan, 2 target, 3 sensor, laporan hitungan temuan.
• Beginner — Rp 50rb/bulan. 50 scan/bulan, 5 target, 8 sensor, laporan lengkap 22 bagian, termasuk 20 pemindaian URL per bulan.
• Expert — Rp 149rb/bulan. 250 scan/bulan, 25 target, 25 sensor termasuk pemindaian URL dan evaluasi LLM sesuai kuota.
• Scan Pack — Rp 20rb untuk 15 scan tambahan (2 target) setelah kuota paket habis.

Dan batasnya, dengan kalimat yang sama jelasnya: AISG bukan pentest dan tidak mengeksploitasi aplikasi Anda. Ia memindai, memberi indikasi, dan membantu Anda memperbaiki lebih awal. Untuk kepatuhan atau aplikasi yang memegang data sensitif, pentest manusia tetap diperlukan — dan artikel ini justru membantu Anda membelinya dengan lingkup yang benar.

Kesimpulan

Biaya pentest ditentukan oleh lingkup, metode, kedalaman, tim, deliverable, dan kebutuhan kepatuhan — bukan oleh merek vendornya. Yang mahal bukan alatnya, tapi waktu manusia yang memutuskan dan membuktikan.

Karena itu urutan yang paling masuk akal hampir selalu sama: periksa permukaan publik secara gratis, pindai kode sendiri, perbaiki yang paling berbahaya, lalu bayar pentest untuk pertanyaan yang memang butuh manusia. Anda akan masuk ke ruang rapat vendor dengan daftar temuan di tangan, bukan dengan tebakan.

Bacaan lanjutan: cara membaca report keamanan AISG, checklist keamanan sebelum rilis, dan beda vulnerability assessment dan pentest.