Você tem tempo limitado, dinheiro limitado e duas certificações de pentest na mesa. De um lado, a DCPT da Desec. Do outro, a CompTIA PenTest+. Qual priorizar?

Essa é uma das perguntas que mais recebo de profissionais em transição para segurança ofensiva. A resposta depende de onde você está na carreira e para qual mercado quer trabalhar. O mercado brasileiro tem lógica própria: escolher entre DCPT ou PenTest+ sem critério claro não é só desperdício de dinheiro, são meses de preparação que poderiam ter sido investidos de outra forma, e uma credencial que não convence nas entrevistas que importam.

Neste artigo, comparo as duas certificações a partir de experiência operacional real, incluindo o acompanhamento de candidatos em ambas as trilhas e atuação simultânea como analista no setor público e consultor privado. Você vai encontrar o formato real dos exames, o custo total honesto, como cada certificação aparece nas vagas brasileiras e um plano de ação para decidir sem desperdício.

DCPT ou PenTest+: o que cada certificação realmente avalia

DCPT: 48 horas de pentest real com relatório profissional

A DCPT funciona em duas fases consecutivas. Na primeira, você tem 24 horas para comprometer os hosts do ambiente via VPN. Na segunda, mais 24 horas para entregar um relatório técnico completo, com seção executiva, seção técnica detalhada e recomendações de correção. Não é uma prova de múltipla escolha e não existe questão teórica para compensar uma exploração falha.

Os temas cobrados incluem aplicações web, Active Directory, buffer overflow, escalada de privilégio, reverse shell, enumeração e documentação de evidências. Mas o que realmente diferencia a DCPT de outros exames práticos é a exigência do relatório: um candidato que comprometeu todos os hosts e entregou um relatório mal estruturado pode reprovar. Isso não é detalhe, é o ponto central da certificação.

A habilidade de produzir relatórios acionáveis é frequentemente citada por gestores como um dos principais diferenciais entre um pentester júnior e um profissional que fecha contratos. Gestores de segurança, CISOs e diretores em geral valorizam relatórios executivos claros; os detalhes técnicos ficam para as equipes operacionais. A DCPT te obriga a dominar os dois lados dessa equação desde o início.

PenTest+: desempenho prático combinado com teoria

A CompTIA PenTest+ na versão PT0-003 tem até 90 questões em 165 minutos, combinando múltipla escolha com questões baseadas em desempenho, as chamadas PBQs, que simulam tarefas em ambiente controlado. A nota mínima de aprovação é 750 em uma escala de 100 a 900.

O conteúdo programático está distribuído em quatro domínios: operações de segurança com 33% do peso, gestão de vulnerabilidades com 30%, resposta a incidentes com 20% e relatórios com 17%. Esse escopo é visivelmente mais amplo que o da DCPT e cobre conceitos que vão além do pentest ofensivo puro. Dependendo do seu objetivo, isso pode ser uma vantagem real ou uma dispersão desnecessária de energia.

Pré-requisitos e custo: o que vem antes do exame

O que você precisa antes de chegar no exame da DCPT

A DCPT não é um exame aberto. Para que o voucher seja liberado, o candidato precisa ter concluído todos os projetos do curso Pentest Experience. Isso significa que a certificação vem embutida em uma trilha de aprendizado obrigatória, vantagem para quem está estruturando o estudo do zero, mas pode frustrar quem esperava apenas pagar e provar competência.

O custo total estimado é de R$ 1.797, incluindo o curso preparatório com 9 projetos e o voucher do exame. Em caso de reprovação, o retake custa R$ 500 adicionais. O guia oficial da DCPT recomenda, ainda, que o candidato revise as explorações em que precisou de ajuda externa durante o curso antes de sentar para o exame. Esse detalhe é frequentemente ignorado e costuma explicar muitas reprovações.

O que a CompTIA PenTest+ exige e quanto custa

A CompTIA não impõe nenhum pré-requisito formal: qualquer pessoa pode comprar o voucher e agendar o exame. A recomendação oficial é de 3 a 4 anos de experiência prática em funções de pentest ou administração de segurança, além de conhecimento equivalente ao Network+ e Security+. Ignorar essa recomendação é uma das razões mais comuns de reprovação.

O voucher custa aproximadamente US$ 404, consulte a cotação vigente no momento da compra para converter o valor em reais, já que a variação cambial impacta diretamente o custo final. Sem incluir curso preparatório, simulados ou laboratórios adicionais, o investimento total tende a ser consideravelmente maior do que o da DCPT. O escopo amplo da PenTest+ exige cobertura de um volume de conteúdo que muitos candidatos subestimam ao calcular o orçamento de preparação.

DCPT ou PenTest+: reconhecimento no mercado brasileiro

Como cada certificação aparece nas vagas de pentester no Brasil

Empresas como Clavis e CPQD listam tanto DCPT quanto CompTIA PenTest+ como diferenciais em vagas de segurança ofensiva. Nenhuma das duas costuma aparecer como requisito obrigatório na maioria das descrições brasileiras: ambas aumentam o peso do currículo em processos seletivos competitivos, mas não funcionam como passaporte automático.

A DCPT aparece com mais frequência em vagas de empresas brasileiras especializadas em segurança e em posições júnior que valorizam a trilha prática nacional. A CompTIA PenTest+ aparece mais em vagas de multinacionais ou empresas que adotam estruturas internacionais de conformidade, especialmente aquelas alinhadas ao ambiente regulatório norte-americano, como o DoD 8140. Vale mencionar que certificações como a eCPPT e as da Offensive Security também circulam nesse ecossistema, mas com perfis de exigência distintos.

Qual pesa mais na decisão de contratação

Em processos seletivos que acompanhei, a DCPT é reconhecida por recrutadores técnicos como prova de competência prática demonstrada em ambiente real e controlado. Isso é difícil de questionar em entrevista: o candidato passou por 48 horas de exploração e entregou um relatório profissional. Não há teoria que substitua isso em uma conversa com um gestor técnico experiente.

A PenTest+ é mais conhecida globalmente, mas seu formato misto gera ceticismo em alguns gestores técnicos brasileiros que preferem ver o candidato explorar uma máquina do que responder questões, mesmo que parte delas seja baseada em desempenho. Na minha experiência e nos anúncios que analisei, a DCPT costuma gerar mais conversas nas entrevistas técnicas voltadas ao mercado local. Para quem mira vagas em empresas com operação internacional, a PenTest+ agrega uma credencial reconhecida fora do Brasil.

Qual certificação escolher de acordo com o seu momento de carreira

Para iniciantes e profissionais em transição para segurança ofensiva

Se você está saindo do suporte, infraestrutura ou redes e quer entrar em pentest, a DCPT é o caminho mais estruturado para trabalhar com pentest no Brasil. A trilha obrigatória do Pentest Experience garante que você não vai ao exame sem base técnica real: os 9 projetos obrigatórios funcionam como um filtro que protege o candidato de si mesmo.

É possível obter a PenTest+ com estudo teórico, e por isso a própria CompTIA recomenda 3 a 4 anos de experiência prévia. Sem prática consistente em laboratório, candidatos podem ter dificuldade em demonstrar capacidade operacional nas entrevistas, especialmente quando um gestor perguntar como você escalou privilégio em um ambiente Active Directory real. Embora seja possível passar na prova com estudo focado, a aprovação teórica sem vivência prática correspondente tende a soar vazia nessas situações.

Para pentesters com experiência que querem crescer na carreira

Para quem já atua há 2 anos ou mais como pentester júnior ou pleno, a PenTest+ pode ser uma adição estratégica ao currículo, especialmente para quem busca vagas em empresas maiores ou com exposição internacional. A credencial da CompTIA é reconhecida por equipes de RH em empresas com atuação global e agrega ao perfil de quem já tem as horas de laboratório por trás.

A DCPT, mesmo para profissionais experientes, funciona como validação prática e serve de diferencial em processos seletivos que incluem teste técnico. É difícil questionar um certificado que exige 48 horas de exploração real com relatório profissional entregue. Para profissionais que miram o mercado brasileiro primeiro, uma estratégia comum é partir da DCPT e adicionar a PenTest+ depois como complemento internacional, uma sequência que preserva o foco prático sem abrir mão da projeção global.

Como se preparar para a DCPT com cenários reais de campo

Entre todas as formas de se preparar para a DCPT, a mais alinhada ao que o exame realmente cobra é treinar com cenários que replicam ambientes reais. Exercícios de captura de bandeira são úteis para raciocínio e técnica, mas costumam não incluir componentes formais de escrita de relatório nem simulação de prazo real, por isso, complementar com laboratórios orientados a relatório e a Active Directory realistas é recomendável.

Como escolher para trabalhar com pentest no Brasil: conclusão

A decisão prática é direta: DCPT para quem quer entrar no mercado brasileiro com uma certificação prática e uma trilha de estudo real; CompTIA PenTest+ para quem já tem experiência sólida e quer complementar o currículo com reconhecimento internacional. Inverter essa ordem é o erro mais comum que vejo em candidatos que ficam presos na preparação sem resultado concreto.

A certificação não faz o pentester. O que o mercado contrata é competência demonstrável: a capacidade de entrar em um ambiente, identificar o caminho de ataque, explorar com controle e documentar de forma que outra pessoa consiga corrigir. A certificação é a prova disso, não o substituto.

Se você está pesando entre DCPT ou PenTest+ para decidir qual certificação escolher para trabalhar com pentest no Brasil e precisa de um plano estruturado, comece pela trilha do Pentest Experience. O exame da DCPT vem embutido, e a competência que você constrói no caminho também.