Aprender como se tornar um pentester tem menos a ver com colecionar certificados e mais com provar, repetidamente, que você consegue invadir um sistema que foi contratado para invadir e depois explicar exatamente como fez. Não existe diploma único que destranque a profissão, nem prova que se passa uma vez e nunca mais se revisita. O caminho é um empilhamento de habilidades concretas, construídas na ordem que permite a cada uma sustentar a seguinte: redes, depois Linux, depois uma linguagem de script, depois os ataques em si. Este guia detalha essa ordem, as certificações que valem o seu dinheiro em 2026, o portfólio que rende entrevistas e quanto tempo tudo isso realmente leva. Você pode começar a metade prática hoje mesmo com o curso Hacking 101 da HackerDNA, que roda inteiramente no navegador.
Este guia é para quem está em transição de carreira, para o estudante e para o analista de suporte que quer sair da fila de chamados. Ele parte do princípio de que você está disposto a trabalhar, mas cansado de conselhos vagos do tipo "pratique mais". Cada passo abaixo é específico, e cada um leva a um tutorial mais aprofundado que você abre quando chegar lá.
Resumo: Para se tornar um pentester, construa primeiro quatro fundações (redes, Linux, uma linguagem de script e o básico de web), depois aprenda a atacar por meio de labs práticos, obtenha uma certificação concreta como a eJPT ou a OSCP e publique um portfólio de relatórios de labs e CTFs que comprove a habilidade. A maioria das pessoas dedicadas atinge o nível de iniciante em doze a vinte e quatro meses. A profissão se aprende fazendo, não assistindo, e paga um salário mediano bem acima de US$ 120 mil no campo mais amplo de analistas de segurança.
Neste guia:
- O que um pentester realmente faz?
- Você precisa de diploma ou certificação para começar?
- Passo 1: construir as quatro fundações
- Passo 2: aprender a atacar em um lab
- Passo 3: obter uma certificação que garante contratação
- Passo 4: construir um portfólio que comprova habilidade
- Passo 5: conseguir o primeiro emprego
- Quanto tempo leva e quanto você vai ganhar
- Considerações legais e éticas
- Perguntas frequentes
O que um pentester realmente faz?
O que faz um pentester? Um pentester é um profissional de segurança pago para atacar os sistemas de uma organização com autorização por escrito, encontrar as fraquezas que um criminoso real poderia usar e entregar um relatório que classifica cada falha por risco e explica como corrigi-la. A profissão é hacking autorizado com prazo e entregável.
Uma semana normal não é a versão de cinema. Você passa os primeiros dias em escopo e reconhecimento, mapeando o que o alvo expõe. Depois vem a avaliação prática: varredura, descoberta de um bug, exploração, elevação de acessos e documentação de cada passo com capturas de tela ao longo do processo. A reta final, aquela que os iniciantes subestimam, é a redação. Uma falha que um desenvolvedor não consegue reproduzir a partir do seu relatório é uma falha que nunca será corrigida.
O teste de intrusão está dentro da disciplina mais ampla do hacking ético, e é uma forma específica, delimitada e com prazo dele. Se você quer o quadro completo do ciclo de um engajamento antes de se comprometer com a carreira, nosso guia sobre teste de intrusão detalha as cinco fases a fundo. Este guia trata da outra pergunta: como sair de onde você está hoje e chegar a ser a pessoa contratada para fazer esse trabalho.
O papel também se divide em especialidades, e você não aprende todas de uma vez. O teste de aplicações web é o ponto de entrada mais comum, porque toda empresa roda aplicações web e basta um navegador e um proxy. O teste de rede e Active Directory paga bem, mas exige mais ferramental. Nuvem, mobile e hardware são especializações mais profundas para as quais você se ramifica depois. Escolha primeiro uma trilha.
Você precisa de diploma ou certificação para começar?
Precisa de diploma para se tornar um pentester? Não. Um diploma em ciência da computação ajuda e alguns empregadores o listam como preferencial, mas a contratação em segurança ofensiva valoriza a habilidade demonstrada acima dos diplomas. A maioria dos testadores em atividade é em grande parte autodidata, e um histórico sólido de labs e CTFs abre mais portas do que um histórico escolar.
Isso não significa que credenciais não valham nada. Um curso ensina os fundamentos de computação (sistemas operacionais, redes, estruturas de dados) que tornam tudo o mais fácil, e passa pelos filtros automáticos de currículo das grandes empresas. Se você está cedo o bastante para escolher, é um caminho razoável. Mas se já tem um diploma em algo não relacionado, ou nenhum, você não está trancado do lado de fora. O campo cresceu com praticantes autodidatas e continua a contratá-los.
As certificações ocupam o terreno intermediário. Elas não vão te tornar habilidoso, mas provam a um gestor de contratação que você sabe render em condições de prova, e as práticas ainda funcionam como treinamento estruturado. A armadilha é tratar um certificado como a linha de chegada. Um candidato com OSCP e nenhum projeto pessoal quase sempre perde para um candidato com um portfólio público de relatórios bem pensados. As certificações passam você pelo filtro; o portfólio garante a oferta.
Passo 1: construir as quatro fundações
Você não consegue explorar o que não entende. O motivo mais comum de os iniciantes empacarem é pular os fundamentos para partir direto para as ferramentas e depois travar no instante em que a saída de uma ferramenta não diz nada a eles. Construa primeiro estas quatro fundações, mais ou menos nesta ordem.
- Redes. Aprenda como TCP/IP, DNS, HTTP e as portas comuns realmente funcionam. Quando uma varredura aponta a porta 445 aberta, você deve pensar de imediato em SMB e no que isso implica. Nossa introdução sobre o que é uma porta é um ponto de partida bem suave se o tema for novo para você.
- A linha de comando do Linux. Quase toda ferramenta ofensiva roda em Linux, e muitos alvos são servidores Linux. Você precisa estar à vontade para navegar por um sistema de arquivos, gerenciar permissões, editar arquivos e encadear comandos no shell sem recorrer a um buscador toda vez.
- Uma linguagem de script. Python é o padrão. Você não escreve software de produção; você automatiza tarefas repetitivas, modifica código de exploit público e analisa saídas. Bash vem de graça à medida que você vive no terminal. A régua é "saber escrever um script de cinquenta linhas que faz algo útil".
- Fundamentos de web. Como o teste de aplicações web é o primeiro emprego mais comum, entenda como fluem requisições e respostas, o que fazem cookies e sessões, e como um navegador conversa com um servidor. É o chão sobre o qual se apoia o OWASP Top 10.
Na prática, você não termina uma fundação antes de tocar na próxima; elas se entrelaçam. Mas a sequência importa como centro de gravidade. Quem passa os três primeiros meses genuinamente à vontade em um shell Linux aprende os ataques bem mais rápido do que quem decorou dez comandos do Metasploit e não sabe dizer por que um deles falhou.
Passo 2: aprender a atacar em um lab
Com as fundações firmes, você começa a aprender ataque da única maneira que fixa: explorando você mesmo vulnerabilidades reais em um ambiente legal e isolado. O ciclo de aprendizado que todo testador eficaz segue é simples e você o repete centenas de vezes. Leia sobre uma classe de vulnerabilidade, explore-a você mesmo em um lab, anote o que aprendeu e passe para a classe seguinte.
Comece pelo OWASP Top 10, a lista dos riscos de aplicações web mais críticos. Injeção de SQL, cross-site scripting, controle de acesso quebrado e falsificação de requisição do lado do servidor não são acadêmicos; são o que de fato aparece em engajamentos reais. Trabalhe cada um à mão antes de tocar em uma ferramenta automatizada, porque um scanner que encontra um bug que você não entende faz de você um apertador de botões, não um testador. Nosso curso Web Attacks cobre esse catálogo na prática, da sua primeira injeção ao encadeamento de bugs até um impacto real.
Daí, ramifique para as habilidades que um engajamento completo exige. Varredura e enumeração com Nmap. Descoberta de conteúdo para achar pontos de entrada ocultos. Exploração com um proxy de interceptação. Depois a fase que os iniciantes costumam pular: escalonamento de privilégios, transformar um apoio de baixo privilégio em controle total da máquina. Se web não é sua trilha, o caminho de teste de intrusão de redes te leva por exploração de serviços, movimento lateral e Active Directory.
Uma opinião firme que vai te poupar meses: menos tutoriais, mais labs. É confortável assistir a um vídeo de duas horas de alguém invadindo uma máquina e sentir que aprendeu. Não aprendeu. Você assistiu. A habilidade vive nas repetições, em ficar travado quarenta minutos e achar a saída sozinho. Labs guiados que te acompanham nas primeiras vezes e depois te deixam voar sozinho são a versão mais rápida desse ciclo.
Passo 3: obter uma certificação que garante contratação
Quando você já consegue explorar uma máquina vulnerável de ponta a ponta sem que segurem sua mão, uma certificação transforma sua habilidade em uma linha de currículo que os recrutadores reconhecem. Nem todas valem o dinheiro. As que pesam em segurança ofensiva são práticas, ou seja, a prova faz você de fato hackear algo em vez de responder a questões de múltipla escolha. Nosso guia completo de certificações em cibersegurança compara o campo mais amplo; a tabela abaixo cobre as quatro que mais importam para uma carreira de pentester.
| Certificação | Nível | Prova 100% prática | Ideal para |
|---|---|---|---|
| eJPT | Iniciante | Sim | Sua primeira certificação e primeira prova de que você sabe fazer o trabalho |
| PNPT | Júnior a intermediário | Sim | Um engajamento realista voltado a relatório, incluindo Active Directory |
| CompTIA PenTest+ | Iniciante a intermediário | Em parte | Empregadores e cargos públicos que querem um nome neutro em relação a fabricantes |
| OSCP | Intermediário | Sim | A referência respeitada que a maioria das vagas pede |
A ordem sensata para a maioria das pessoas é a eJPT primeiro, porque é acessível e sua prova prática confirma que você tem o básico sem a pressão de um teste decisivo para a carreira. Depois, quando você já compromete de forma confiável máquinas de nível intermediário, a OSCP é a que move o ponteiro na contratação. Sua prova prática de 24 horas faz você invadir um conjunto de máquinas em uma rede isolada e depois escrever um relatório profissional, que é exatamente a profissão.
A PNPT merece menção porque sua prova é a mais próxima de um engajamento real, terminando em um relatório completo e um debrief, e inclui um caminho de ataque ao Active Directory. Se você já ocupa um cargo e quer a certificação que melhor espelha o dia a dia, é uma escolha sólida. Seja qual for a sua escolha, não empilhe três certificações antes de ter um único projeto para mostrar. Uma certificação prática mais um portfólio público vale mais do que uma parede de crachás com nada por trás.
Passo 4: construir um portfólio que comprova habilidade
Como construir um portfólio de teste de intrusão? Documente o que você hackeia. Cada lab resolvido e cada máquina de CTF conquistada vira um relatório que mostra sua metodologia, seu raciocínio quando travou e como chegou à flag. Uma coleção pública desses relatórios é a coisa mais convincente que um candidato júnior pode mostrar, porque comprova uma habilidade que um certificado apenas sugere.
O portfólio faz três coisas ao mesmo tempo. Dá evidências ao gestor de contratação, força você a entender o que fez bem o bastante para explicá-lo, e constrói um registro pesquisável das suas próprias técnicas que você de fato vai consultar depois. Mantenha-o concreto e honesto. Um relatório que diz "presumi que a flag estava no banco, perdi uma hora e então percebi que o caminho real era um upload de arquivo mal configurado" ensina mais e soa mais genuíno do que uma volta da vitória sem falhas.
- Relatórios de labs e CTFs. Publique-os em um blog simples ou em um repositório público no GitHub. Mostre os comandos, a saída e o raciocínio, não só a resposta.
- Um GitHub com pequenas ferramentas. Mesmo um script Python de cinquenta linhas que automatiza uma tarefa que você cansou de fazer à mão sinaliza que você sabe programar, o que te separa dos candidatos que só rodam as ferramentas dos outros.
- Divulgações de bug bounty. Quando estiver pronto, uma falha válida reportada por uma plataforma como HackerOne ou Bugcrowd é prova do mundo real sob regras autorizadas. Mesmo um punhado de relatórios de baixa gravidade, resolvidos, têm peso.
- Colocações em CTFs. Um perfil numa plataforma de treino com histórico visível de desafios resolvidos mostra regularidade, que os empregadores leem como alguém que vai continuar aprendendo no cargo.
Ao testar aplicações reais, o hábito de documentar ao longo do processo não é opcional; é o entregável. Criar esse hábito agora, em máquinas de lab onde o risco é zero, faz com que ele seja natural quando um cliente estiver pagando por isso. Trate cada máquina de treino como um engajamento real e escreva o relatório que entregaria a um cliente.
Passo 5: conseguir o primeiro emprego
A parte mais difícil de uma carreira em segurança ofensiva é o primeiro cargo, porque a maioria das vagas de pentest pede uma experiência que você ainda não tem. Há dois caminhos comprovados para atravessar esse muro, e ambos são mais confiáveis do que disparar currículos no vazio.
O primeiro é o movimento lateral. Cargos como analista de SOC, suporte de TI, administrador de sistemas e engenheiro de segurança júnior são bem mais fáceis de conseguir, pagam você para acumular experiência real e ficam a um passo do trabalho ofensivo. Um analista de SOC que passa dois anos observando como os ataques de fato aparecem em produção, e então estuda ofensiva por fora, se torna um testador júnior muito contratável. Se você ainda está decidindo se o campo mais amplo é para você, nossa opinião franca sobre se a cibersegurança é uma boa carreira expõe os prós e contras.
O segundo é deixar seu portfólio falar por você. Um candidato sem cargo de segurança no título, mas com um registro público de CTFs resolvidos, relatórios de labs, alguns relatórios de bug bounty resolvidos e uma certificação prática é um candidato de verdade, não um mero esperançoso. Recrutadores e gestores de contratação deste campo de fato olham esse trabalho. É o mais próximo de experiência que você pode fabricar por conta própria.
Quando a entrevista chegar, espere que seja prática. Podem te dar uma máquina para comprometer ao vivo, um trecho de código para achar a falha, ou um passo a passo de um engajamento passado. Conheça seus próprios relatórios de cor, porque "me fale de uma máquina que você rootou" é uma abertura comum, e seja honesto sobre o que não sabe. Num campo tão profundo, "ainda não fiz Active Directory, mas eis como eu abordaria" é uma resposta mais forte do que um blefe confiante que um testador experiente enxerga em segundos.
Quanto tempo leva e quanto você vai ganhar
Quanto tempo leva para se tornar um pentester? Para a maioria das pessoas que estuda a sério junto de outros compromissos, atingir o nível de iniciante leva cerca de doze a vinte e quatro meses: alguns meses de fundações, seis a doze meses aprendendo a atacar em labs, e mais alguns para uma certificação prática e um portfólio. Tempo integral e experiência prévia em TI encurtam; esforço esporádico estica.
O prazo é uma faixa, não uma promessa, e a variável que mais o move é a constância. Uma hora por dia, quase todos os dias, vence uma maratona de dez horas em um fim de semana por mês, porque as habilidades ofensivas decaem rápido sem uso e se acumulam com a prática. Quem chega lá raramente é o mais talentoso; é quem continuou aparecendo depois do platô em que as vitórias fáceis se esgotam.
O salário compensa o esforço. O Bureau of Labor Statistics dos Estados Unidos não acompanha "pentester" como ocupação própria, mas a categoria mais próxima, analistas de segurança da informação, registrou um salário mediano de US$ 124.910 em maio de 2024 e deve crescer 29 por cento até 2034, muito mais rápido que a média. Na prática, testadores iniciantes costumam começar perto de US$ 90 mil, e especialistas seniores como operadores de red team passam de US$ 200 mil. Nossa análise do salário de um pentester traz os números reais por nível e região.
A demanda sustenta tudo isso. O déficit global de mão de obra em cibersegurança segue na casa dos milhões de vagas não preenchidas, segundo o estudo anual de força de trabalho da ISC2, que é a razão estrutural pela qual um candidato autodidata com um portfólio de verdade ainda consegue entrar. A escassez não é frase de marketing; é o motivo de a porta seguir aberta.
Considerações legais e éticas
Lembrete essencial: Praticar suas habilidades contra sistemas que você não possui ou não tem permissão por escrito para testar é crime, por melhores que sejam suas intenções. Nos Estados Unidos, o Computer Fraud and Abuse Act (CFAA, 18 USC 1030) prevê penas de até 10 anos de prisão federal. O Reino Unido aplica o Computer Misuse Act 1990 e a União Europeia a Diretiva 2013/40/UE. Sempre obtenha autorização por escrito antes de tocar em um alvo.
Toda técnica deste guia é legal em um contexto e crime em outro, e a única coisa que os separa é a autorização. Ao aprender, você vai sentir o impulso de testar algo real: o site de um amigo, a página de login do seu empregador, um serviço que te irritou. Não faça. O jeito mais rápido de encerrar uma carreira em segurança antes de começar é um teste não autorizado que pareceu inofensivo para você e pareceu um ataque para todos os demais.
Há três lugares onde você tem permissão para praticar, e eles cobrem tudo o que um iniciante precisa. Plataformas de labs isolados e eventos de CTF, onde os alvos pertencem à plataforma e são oferecidos ao ataque de propósito. Programas de bug bounty, cujas regras publicadas concedem permissão para testar dentro de limites definidos. E sistemas que você mesmo possui, como um lab caseiro de máquinas virtuais. Fique dentro desses três e você poderá construir todo o conjunto de habilidades sem nunca cruzar a linha.
Perguntas frequentes
Dá para se tornar pentester sem experiência?
Sim, mas raramente pulando direto para uma vaga de pentest. O caminho comum é construir habilidades com labs e CTFs, obter uma certificação prática, publicar um portfólio de relatórios e, muitas vezes, entrar por um cargo adjacente como analista de SOC ou suporte de TI primeiro. A experiência que os empregadores querem pode ser construída por conta própria antes de alguém te contratar.
Quanto tempo leva para se tornar um pentester?
Para a maioria que estuda a sério junto de um trabalho ou dos estudos, doze a vinte e quatro meses é realista: alguns meses de fundações, seis a doze aprendendo a atacar em labs, e o resto em uma certificação e um portfólio. Experiência prévia em TI e estudo em tempo integral encurtam; esforço irregular estica bem além de dois anos.
Preciso saber programar?
Você precisa ler código com fluência e escrever scripts simples, mas não precisa ser engenheiro de software. A maioria dos testadores usa Python ou Bash para automatizar o trabalho repetitivo, ajustar código de exploit público e ler o código-fonte de uma aplicação bem o bastante para achar falhas. A régua realista é: à vontade para ler qualquer linguagem e capaz de scriptar em uma ou duas.
Qual certificação obter primeiro?
Comece pela eJPT. É acessível, sua prova é 100% prática e confirma que você tem o básico sem a pressão de um teste decisivo. Quando você já compromete de forma confiável máquinas intermediárias, passe para a OSCP, a certificação que a maioria das vagas reconhece. Não empilhe certificados antes de ter um portfólio para mostrar ao lado deles.
Teste de intrusão é uma boa carreira em 2026?
Sim. A demanda segue alta porque o déficit global de mão de obra em segurança ainda se conta em milhões de vagas não preenchidas, a remuneração está bem acima da média do setor de tecnologia, e o trabalho é variado e intelectualmente estimulante. As contrapartidas são um aprendizado contínuo que nunca para e a pressão de prazos e relatórios de clientes. Para a maioria de quem gosta de resolver problemas, vale a pena.
Qual a diferença entre um pentester e um hacker ético?
Hacking ético é a prática ampla de usar habilidades de segurança ofensiva de forma legal. O teste de intrusão é um trabalho específico dentro dele: uma avaliação delimitada, com prazo e autorizada, que termina em um relatório. Todo teste de intrusão é hacking ético, mas o hacking ético também abrange caça a bugs, red teaming e pesquisa de segurança.
Onde posso praticar teste de intrusão legalmente?
Três lugares: plataformas de labs isolados e eventos de CTF onde os alvos são fornecidos para ataque, programas de bug bounty cujas regras concedem permissão dentro de limites, e sistemas que você possui, como um lab caseiro. Os labs da HackerDNA, no navegador, deixam você praticar exploração real sem instalação e sem risco legal, o que remove a maior barreira que os iniciantes enfrentam.
Seus próximos passos para se tornar um pentester
Saber como se tornar um pentester não é o mesmo que se tornar um, e a distância entre os dois se preenche inteiramente com repetições. Leia o guia uma vez, depois feche-o e vá quebrar algo que você tem o direito de quebrar. As fundações, os ataques, a certificação, o portfólio e o primeiro emprego decorrem todos do único hábito de aparecer em um lab e terminar o que começou.
Comece pelo curso Hacking 101 da HackerDNA para os fundamentos, depois passe ao curso Web Attacks para aprender o OWASP Top 10 explorando-o você mesmo. Quando quiser o fluxo completo de um engajamento, o curso Network Penetration Testing vai da primeira varredura até o relatório. Iniciantes absolutos devem se aquecer antes no lab Learn 101.
O plano gratuito da HackerDNA te dá labs no navegador, sem cartão de crédito e sem instalação local, de modo que a única coisa entre você e sua primeira exploração autorizada é abrir uma aba. Escolha um lab, comece a hackear e inicie o portfólio que vai te contratar.
