渗透测试价格与规格全解：三种计价形态与分类判定标准

1 三种计价形态，别混在一起谈价

渗透测试的报价看起来乱，其实只有三种形态。搞清楚买的是哪种，比价才有意义。

形态一：按次固定价。腾讯云 PTS 走这条路。按"测试的应用或模块数量"算，一个二级域名、一个小程序、一个 App 各算一次，每次给固定价格。I 类 31,800 元、II 类 53,000 元、III 类 84,800 元。买多少次就付多少钱，服务有效期一年。

形态二：订阅制 + Credits。阿里云走这条路。基础服务订阅费 36,800 元/月，每月含 100 万 Credits，超出部分按 0.015 元/Credit 计费。适合渗透测试需求持续、量大的场景，本质是把测试能力做成一个可调用的服务。

形态三：按人天。红蓝对抗、攻防演练走这条路。腾讯云安全攻防对抗服务 26,700 元/（人×天），最低 3 人 × 5 天 = 15 人天。价格 = 人数 × 天数 × 单价。

还有一种常见的市场形态：按项目规模议价。安全服务商、测评机构、系统集成商多走这条路，按"大/中/小项目"给固定价，价格区间比云厂商标价低不少。后面第 5 节会给公开集采数据。

选哪种？需求零散、一年几次，按次买。需求持续、每月都要测，订阅制。要做攻防演练和红队评估，按人天。预算有限又要过合规，找服务商按项目议价。

3 阿里云渗透测试：订阅制与 Credits

阿里云走的是订阅模式，价格结构跟按次完全不同。

• 基础服务订阅费：36,800 元/月
• 包含额度：每月 100 万 Credits
• 超出部分：0.015 元/Credit

这个模式的特点是能力可复用、按月重置。100 万 Credits 每月清零不累积，超出自动按量扣费，且这个按量计费不能单独关闭——随包年包月到期或退订才自动关闭。

什么场景适合？持续做渗透测试、每月测试量稳定、需要把渗透能力嵌进研发流程的场景。比如每次发版都跑一遍、每月对全量资产轮扫一遍。这种高频需求下，订阅制比按次买便宜得多。

反过来，一年只做一两次合规渗透测试，订阅制明显不划算——36,800 元/月，两个月就超过按次买的 III 类价格了。

还有两个规则要注意：渗透任务数据保留 15 天，15 天后释放实例并清理历史数据；15 天内重新购买可恢复。暂不支持退订，需要退订得联系商务经理人工处理。

4 I/II/III 类怎么判：这是决定价格的核心变量

同样是"一个网站"，I 类 31,800 元、III 类 84,800 元，差 53,000 元。分类判错，预算就错。判定标准很具体：

I 类（普通业务，31,800 元）：

• 展示型网站：主要是展示公司形象、品牌，比如公司官网
• 营销型网站：比如只做宣传推广的行业网站
• 技术条件：静态页面，没有注册登录功能，没有登录后的个人中心功能，API 接口数量 ≤ 50

II 类（复杂业务，53,000 元）：

• 功能类网站：小说站、影视站、在线教育、直播、物流查询、票务预订
• 服务型网站：提供查询服务、有登录注册和交互功能，政务类网站多属此类
• 论坛网站：有会员系统、发帖、上传下载、资料分享
• 门户网站：以资讯内容为主，含综合性门户
• 后台管理系统、运营平台、监控系统
• 技术条件：不涉及充值交易但逻辑较复杂，API 接口数量 ≤ 60

III 类（交易业务，84,800 元）：

• 交易类网站：主要提供在线交易，多数电商网站，有充值和交易功能
• 自建员工 OA 系统、结算系统
• 技术条件：API 接口数量 ≤ 80

一个重要的降级通道：如果系统本身是 III 类（比如 OA 系统），但不提供测试账号、只在外围做测试，可以按 II 类下单，省 31,800 元。代价是登录后的功能、越权问题、业务逻辑漏洞都测不到，报告里会注明测试范围受限。合规场景下测评机构可能不认这种报告，要提前确认。

判断口诀：有没有登录 → 有没有交易。没登录没交易是 I 类，有登录没交易是 II 类，有交易或涉及资金结算的是 III 类。

5 市场参考价：公开集采数据

云厂商标价只是市场的一端。看一份公开的银行集采结果，能了解另一端的价格水平。

中国工商银行四川分行 2026 年度安全漏洞检测服务集中采购，入围价格（含税，税率 6%）是这样的：

• 渗透测试服务，大项目 12,000 元/次、中项目 6,600 元/次、小项目 3,300 元/次，交付《渗透测试报告》和《渗透测试复测报告》
• 系统代码审计，大项目 12,000 元/次、中项目 6,600 元/次、小项目 3,300 元/次
• 重大保障期间现场技术支持，3,000 元/人天

这份数据说明三件事：

第一，价格跨度极大。同样是渗透测试，银行集采的小项目 3,300 元/次，云厂商 III 类标价 84,800 元/次，差 25 倍。这个差距不是"谁贵谁便宜"的问题，而是服务内容、交付标准、责任承担完全不同。

第二，规模决定单价。银行是年度框架集采，一年几十上百个项目，服务商愿意用低价换稳定订单。单次零散采购拿不到这个价。

第三，复测要写进合同。工行的采购里，每次渗透测试都交付两份报告——渗透测试报告和复测报告。复测是验证漏洞真的修了，很多低价报价里不含这一项，整改完还得再付一次钱。

怎么用这份数据谈价？如果年度渗透测试需求在 10 次以上，可以走框架采购或年度服务包，价格有议价空间。如果只做一两次合规测试，云厂商标价基本是透明的，议价空间小，但可以比较不同服务商。判断报价是否合理，看三件事：测试范围写清楚没有、复测含不含、报告能不能过测评。

6 红蓝对抗和渗透测试不是一回事

很多人把这两个混着买，报价差好几倍。区别在目标和计价单位。

渗透测试：目标是"找出目标系统的漏洞"。范围明确（一个域名、一个 App），有测试账号，深度到漏洞层面，交付漏洞清单和修复建议。计价单位是"次/系统"。

红蓝对抗（攻防演练）：目标是"检验整体防护能力"。范围模糊（可能包括社会工程、物理入侵、供应链），不提供测试账号，从零开始模拟真实攻击者，深度到"能不能打进去、能拿到什么"。计价单位是"人天"。

腾讯云安全攻防对抗服务的计价：

• 人天单价 26,700 元/（人×天）
• 最低购买：3 人 × 5 天 = 15 人天，即 400,500 元起
• 参考场景：公司级攻防 3 人 5 天 = 15 人天；公司级攻防 3 人 10 天 = 30 人天；行业/集团级攻防 3 人 15 天 = 45 人天；行业/集团级攻防 5 人 14 天 = 70 人天

按 70 人天算，一次集团级攻防演练约 186.9 万元。这是完全不同的量级。

什么场景需要红蓝对抗？监管要求（金融、能源、政务的关键信息基础设施运营者）、重大活动保障、护网行动前的自查、集团级安全能力评估。普通企业的年度合规需求，渗透测试够了。

另外还有个中间形态：众测（漏洞众测/SRC），按有效漏洞付费，白帽子提交漏洞、厂商审核后付奖金。适合有一定安全基础、想持续获取外部视角的团队，成本比红蓝对抗低，但结果不可控。

7 采购前必须准备什么

渗透测试是"授权攻击"，没有授权书服务商不会开工。这几样东西准备齐，交付周期能缩短一半。

• 书面授权书。明确授权范围（域名、IP、App 包名）、授权时间窗口、授权人签字、公司盖章。服务商拿不到授权书不会动手，这是行业底线。
• 测试范围清单。URL 列表、API 文档（OpenAPI 或 Postman 集合）、IP 段、App 安装包。范围写不清楚，报价会虚高，测试也会漏。
• 测试账号。每个用户角色两个账号。多角色系统的越权问题是最常见的高危漏洞，没有多角色账号根本测不出来。角色越多，工作量越大，价格越高。
• 测试环境。优先用跟生产一致的预发环境。只能在生产测的话，要选低峰时段、准备好回滚方案、通知业务方。
• 白名单与防护调整。测试期间可能需要临时调整 WAF、防火墙、风控策略，避免测试流量被拦截。要提前跟安全团队和运维团队协调。
• 应急联系人。测试过程中如果触发了真实告警、或者测试导致服务异常，需要能立刻联系上人。双方都要留 7×24 联系方式。
• 测试时间窗口。明确哪天几点到几点可以测，超出窗口的测试请求要提前申请。这个写进授权书。

最容易忽略的是测试账号。很多项目卡在这一步——业务方不敢给生产环境的账号，测试方拿不到账号只能做外围测试，最后报告深度不够，测评机构不认。提前准备好测试环境的多角色账号，比什么都重要。

8 报告和复测：交付物清单

渗透测试买的不只是"测一遍"，是买一份能用来整改和过合规的报告。标准交付物应该包括：

• 渗透测试报告。含测试范围、测试方法、测试时间、漏洞清单、每个漏洞的风险等级、复现步骤、影响分析、修复建议、截图证据。
• 复测报告。整改完成后验证漏洞是否真的修复，逐条给结论。这一项必须写进合同，很多低价报价不含。
• 漏洞风险分级。通常按严重/高危/中危/低危/信息级分。要确认分级标准跟等保测评、行业监管的口径一致。
• 整改建议的可执行性。好的报告会给出具体到代码行或配置项的修复方案，不是一句"建议升级组件"。
• 报告可用性声明。报告能不能用于等保测评、行业监管报送、客户安全审核，要在合同里写清楚。有的服务商报告带资质章，有的不带。

复测为什么重要？等保测评和多数合规审核要看的不是"你测了没有"，而是"发现的问题修了没有"。没有复测报告，无法证明整改闭环。工行的采购里每次渗透测试都明确交付两份报告，就是这个原因。

9 五个省钱动作

动作一：分类别往上凑。I 类 31,800 元、II 类 53,000 元，差 21,200 元。如果系统确实只是展示型（没有登录功能），不要被按 II 类报价。反过来，如果系统有登录有个人中心，别指望按 I 类下单，服务商测的时候会发现，最终还是按实际等级结算。

动作二：能外围测就外围测。III 类系统不提供测试账号、只做外围测试，可以按 II 类下单，省 31,800 元。前提是合规场景能接受范围受限的报告，这一点必须先跟测评机构确认。

动作三：App 服务端和客户端打包谈。客户端 31,800 + 服务端 21,200 = 53,000 元，分开买。一起谈的话，服务商通常愿意给打包价，因为报告和项目管理成本可以共享。

动作四：年度需求走框架采购。一年测 10 次以上，不要一次次零散买。走年度框架或服务包，单价能压下来。银行集采小项目 3,300 元/次的价格，就是靠规模拿到的。

动作五：把复测写进合同。不要在整改完再单独买复测，那是一次新的采购流程和新的预算。签合同的时候就把"含一次复测"写进去，成本几乎为零，省下的是整个复测费用和一轮审批流程。

11 相关页面

• 渗透测试厂商横向对比与选型：各服务商的资质、测试深度、报告质量差异。
• 漏洞扫描价格与规格：自动扫描与人工测试的分工和计价差异。
• WAF 价格与规格：渗透测试期间要调整的防护策略。
• 堡垒机价格与规格：测试账号和运维操作的权限管控。
• 等保合规咨询与整改：等保对渗透测试频次和报告的具体要求。