Berapa Biaya Pentest Website
di Indonesia pada 2026?
Jawaban yang bertanggung jawab dimulai dari ruang lingkup. Jumlah halaman bukan satu-satunya penentu: role, API, transaksi, integrasi, dan kedalaman pembuktian dapat mengubah pekerjaan secara signifikan.
Angka pada artikel ini adalah harga publik CyberSecAudit per tanggal publikasi. Harga vendor lain dapat berbeda. Tidak ada satu tarif yang mewakili seluruh pasar karena aset dan kebutuhan setiap engagement berbeda.
Pertanyaan “berapa biaya pentest website?” terdengar sederhana, tetapi jawaban tanpa memahami sistem sering menyesatkan. Website profil dengan formulir kontak berbeda dari aplikasi pelanggan yang memiliki login, pembayaran, beberapa role, dashboard admin, API, upload, dan integrasi pihak ketiga.
Apa yang sebenarnya dibeli?
Klien tidak seharusnya membeli sekadar daftar scanner. Nilai audit berasal dari pemetaan aset, pengujian terkontrol, validasi manual, bukti yang dapat direproduksi, penjelasan dampak, rekomendasi, dan retest sesuai kesepakatan. Semakin penting keputusan bisnis yang diproses aplikasi, semakin besar kebutuhan untuk memeriksa state dan authority di server.
Pentest juga bukan jaminan sistem bebas kerentanan. Hasil menggambarkan ruang lingkup, akses, teknik, dan periode pengujian yang disepakati. Perubahan aplikasi setelah audit dapat menciptakan risiko baru.
Tujuh faktor yang menentukan biaya
- Jumlah aset. Domain utama, subdomain, portal, API, dan panel administrasi menambah permukaan yang harus dipetakan.
- Jumlah role. Guest, pelanggan, staf, manajer, dan admin memerlukan authority matrix serta pengujian pembanding.
- Alur bisnis. Checkout, voucher, saldo, approval, refund, dan lifecycle akun membutuhkan eksperimen stateful.
- Teknologi dan integrasi. SSO, payment gateway, storage, webhook, mobile backend, atau AI tool menciptakan trust boundary tambahan.
- Akses pengujian. Black-box publik berbeda dari review dengan akun uji, dokumentasi API, source, atau staging.
- Kedalaman bukti. Reflection dan error bukan akhir. Kandidat perlu baseline, mutation, negative control, reproduksi, dan authoritative readback.
- Deliverable. Kebutuhan executive summary, workshop, retest, attestation, atau dokumentasi procurement memengaruhi pekerjaan.
Harga awal paket CyberSecAudit
“Mulai” berarti harga minimum untuk kondisi yang sesuai, bukan janji bahwa seluruh sistem kompleks dapat diperiksa pada angka tersebut. Proposal final harus mencatat apa yang masuk dan tidak masuk scope.
Contoh perbedaan scope
Website company profile
Fokus dapat mencakup konfigurasi publik, formulir, input, upload bila ada, session dasar, dan exposure yang relevan. Security Preview dapat menjadi langkah awal, tetapi tidak menggantikan audit manual.
Aplikasi dengan login
Pengujian perlu membandingkan actor dan objek: pengguna A terhadap objek A, pengguna A terhadap objek B yang diizinkan untuk pengujian, serta role berbeda. Account recovery, session, dan perubahan state juga menjadi penting.
Aplikasi transaksi
Harga, kuantitas, diskon, voucher, checkout, pembatalan, refund, dan ledger perlu diuji dengan data serta transaksi uji yang disepakati. Scope harus mencegah biaya nyata dan menyatakan stop condition.
API dan AI agent
API memerlukan pemetaan endpoint, token, tenant, object ownership, credential lifecycle, dan transport. AI agent menambah instruction provenance, RAG ACL, tool permission, approval binding, serta rantai User ke Model ke Tool ke API ke State.
Pertanyaan sebelum meminta penawaran
- Aset dan environment mana yang boleh diuji?
- Berapa role dan akun uji yang tersedia?
- Alur bisnis mana yang paling kritis?
- Apakah API atau dokumentasi tersedia?
- Data apa yang dilarang disentuh?
- Apakah ada jam pengujian dan kontak darurat?
- Apakah retest dan presentasi hasil diperlukan?
Waspadai penawaran yang tidak menjelaskan batas
Harga rendah tidak otomatis buruk, dan harga tinggi tidak otomatis baik. Yang perlu diperiksa adalah kesesuaian scope dengan kebutuhan. Proposal yang hanya menjanjikan “scan seluruh website” tanpa aset, role, metode, proof standard, dan deliverable membuat ekspektasi sulit diverifikasi.
Tanyakan apakah hasil scanner divalidasi, bagaimana false positive ditangani, apakah dampak dibuktikan dengan owned state, bagaimana data disensor, dan apa prosedur cleanup. Pertanyaan ini lebih berguna daripada membandingkan jumlah finding yang dijanjikan.
Bagaimana mendapatkan estimasi yang lebih akurat?
Siapkan daftar domain dan aplikasi, jumlah role, fungsi penting, teknologi utama, integrasi, environment, jadwal, serta kebutuhan laporan. CyberSecAudit kemudian dapat menyusun scope tertulis dan memilih paket yang sesuai tanpa memaksakan pekerjaan yang tidak diperlukan.
Kesimpulan
Biaya pentest website pada 2026 tidak dapat dinilai hanya dari jumlah URL. Penentu utamanya adalah authority, alur bisnis, integrasi, kedalaman validasi, dan deliverable. Gunakan harga awal sebagai titik orientasi, lalu pastikan proposal menjelaskan ruang lingkup serta batas klaim secara eksplisit.