Pentester szuka dziur w cudzych systemach, zanim znajdzie je ktoś o gorszych zamiarach. Brzmi to efektownie i jest jednym z lepiej płatnych zajęć w branży technologicznej, tylko droga do niego wygląda inaczej, niż podpowiada wyobraźnia. Ten przewodnik pokazuje, na czym naprawdę polega ta praca, jak do niej wejść i dlaczego zapotrzebowanie na nią właśnie przyspiesza.
W skrócie
Pentester, czyli tester penetracyjny, przeprowadza kontrolowane próby włamania do systemów na zlecenie ich właściciela, a następnie opisuje znalezione podatności i sposoby ich naprawy. Pracuje wyłącznie na podstawie pisemnej zgody i uzgodnionego zakresu, bo bez tego te same czynności są przestępstwem. Mediana wynagrodzenia w kategorii specjalistów do spraw bezpieczeństwa IT wynosi 12 250 zł brutto, czyli około 8680 zł netto [Ogólnopolskie Badanie Wynagrodzeń, styczeń 2026, próba 319 osób]. To najlepiej płatny zawód spośród opisanych dotąd w naszej serii.
Czym zajmuje się pentester i co to jest pentest
Test penetracyjny to kontrolowany atak na system informatyczny, przeprowadzany na zlecenie właściciela w celu znalezienia podatności, zanim wykorzysta je ktoś nieuprawniony. Różni się tym od automatycznego skanowania, że pentester łączy narzędzia z własnym rozumowaniem: sprawdza, co da się połączyć w łańcuch, gdzie logika aplikacji przeczy założeniom projektantów i co stanie się, gdy użytkownik zrobi coś, czego nikt nie przewidział.
Praca dzieli się na kilka etapów, które powtarzają się w każdym projekcie: uzgodnienie zakresu i zasad, rozpoznanie, właściwe testy, a na końcu raport. Ten ostatni etap zajmuje więcej czasu, niż zakłada większość osób wchodzących do zawodu. Klient nie kupuje bowiem samego faktu znalezienia dziury, tylko zrozumiały opis: co jest zepsute, jak poważne to jest, jak to odtworzyć i co konkretnie zrobić, żeby naprawić.
Kluczowa jest przy tym kwestia formalna. Pentester działa na podstawie umowy, pisemnej zgody i ściśle określonego zakresu, w którym zapisano, jakie systemy wolno testować, w jakich godzinach i jakimi metodami. Wyjście poza ten zakres, nawet w dobrej wierze, przestaje być pracą zawodową i staje się działaniem bezprawnym.
Rodzaje testów penetracyjnych
| Podział według wiedzy o systemie | Na czym polega |
|---|---|
| Black box | Tester nie dostaje żadnych informacji, symuluje atak z zewnątrz |
| Grey box | Dostaje częściową wiedzę, na przykład konto zwykłego użytkownika |
| White box | Ma pełen dostęp do dokumentacji i kodu, szuka najgłębiej |
Drugi podział dotyczy tego, co jest testowane: aplikacje webowe, sieci wewnętrzne i infrastruktura, aplikacje mobilne, urządzenia oraz socjotechnika, czyli sprawdzanie odporności ludzi na manipulację. Większość pentesterów specjalizuje się w jednym albo dwóch obszarach, bo warsztat w każdym z nich jest inny.
Dlaczego zapotrzebowanie na pentesterów rośnie
Tu wchodzimy w zmianę, która dzieje się na naszych oczach i ma już twarde potwierdzenie w badaniach.
Kod generowany maszynowo jest istotnie mniej bezpieczny. Veracode przetestowało ponad sto modeli językowych i sprawdziło wygenerowany przez nie kod pod kątem podatności. Wynik: 45 procent próbek nie przeszło testów bezpieczeństwa i wprowadzało podatności z listy OWASP Top 10. Rozbicie na języki pokazuje, że problem jest nierówny: Java 72 procent, C# 45, JavaScript 43, Python 38. Przy podatnościach typu cross-site scripting modele nie poradziły sobie w 86 procentach przypadków [Veracode, 2025 GenAI Code Security Report, lipiec 2025].
Najważniejszy wniosek z tego badania jest jednak inny. Nowsze i większe modele nie wypadały lepiej, a wynik pozostawał płaski niezależnie od wielkości i stopnia zaawansowania modelu. Problem nie rozwiązuje się więc sam wraz z kolejnymi wersjami narzędzi.
Do tego dochodzi skala. Skan 5600 publicznie dostępnych aplikacji zbudowanych metodą vibe codingu, czyli programowania w całości prowadzonego poleceniami do modelu, wykazał ponad 2000 podatności o wysokim wpływie oraz 175 przypadków ujawnionych danych osobowych. Wszystko w działających systemach produkcyjnych [Escape.tech, State of Security of Vibe Coded Apps].
Złóżmy to razem. Aplikacji powstaje więcej i szybciej. Coraz częściej tworzą je osoby bez przygotowania w zakresie bezpieczeństwa, bo narzędzia obniżyły próg wejścia do samego programowania, natomiast nie obniżyły progu wejścia do rozumienia zagrożeń. Modele nie poprawiają się w tym obszarze wraz z kolejnymi wersjami.
Stąd nasza teza o kierunku tego zawodu: rośnie nie tyle liczba systemów do przetestowania, ile liczba systemów, których nikt kompetentny nigdy nie obejrzał. Jednocześnie część rutynowego skanowania faktycznie się automatyzuje, więc wartość przesuwa się w stronę tego, czego narzędzie nie zrobi: łączenia podatności w scenariusze, oceny realnego ryzyka biznesowego i napisania raportu, po którym ktoś naprawdę coś naprawi. Szerzej o tym, jak firmy wdrażają narzędzia oparte na sztucznej inteligencji, piszemy w przewodniku o wykorzystaniu AI przez przedsiębiorców.
Jak zostać pentesterem
- Zbuduj podstawy, zanim zaczniesz atakować. Sieci, systemy operacyjne, protokoły i przynajmniej jeden język skryptowy. Bez tego testy sprowadzają się do klikania w narzędzia bez rozumienia wyników.
- Ucz się na legalnych poligonach. Platformy z celowo podatnymi maszynami i programy typu bug bounty dają praktykę bez ryzyka prawnego. To jedyna dopuszczalna droga do wprawy.
- Zdobądź certyfikat praktyczny. W tym zawodzie liczą się egzaminy polegające na realnym przejęciu systemu w warunkach egzaminacyjnych, a nie testy wyboru. Najczęściej wymieniany w ogłoszeniach jest OSCP.
- Rozważ studia kierunkowe, jeśli dopiero wybierasz ścieżkę. Cyberbezpieczeństwo jako kierunek daje uporządkowaną podstawę, choć samo w sobie nie zastąpi praktyki.
- Wejdź bokiem, jeśli już pracujesz w branży. Administrator, programista i osoba z pierwszej linii wsparcia mają szybszą ścieżkę niż ktoś z zewnątrz, bo znają systemy od środka.
- Naucz się pisać raporty. To umiejętność, która najbardziej odróżnia pentestera zatrudnianego ponownie od tego, z którym współpraca kończy się po jednym projekcie.
Umiejętności i narzędzia
Po stronie warsztatu powtarzają się narzędzia do rozpoznania sieci, przechwytywania i modyfikowania ruchu w aplikacjach webowych oraz zestawy do testowania konkretnych podatności. Znajomość nazw nie wystarcza, bo pracodawcy sprawdzają, czy kandydat rozumie, co dane narzędzie faktycznie robi i kiedy jego wynik jest fałszywym alarmem.
Ważniejsze od listy programów są cztery rzeczy: myślenie scenariuszami zamiast pojedynczymi błędami, skrupulatność przy dokumentowaniu kroków, komunikatywność w kontakcie z zespołem, który będzie naprawiał znalezione błędy, oraz dyscyplina etyczna, czyli trzymanie się zakresu nawet wtedy, gdy tuż obok widać coś kuszącego.
Ile zarabia pentester
Mediana wynagrodzenia w kategorii specjalistów do spraw bezpieczeństwa IT wynosi 12 250 zł brutto, czyli około 8680 zł netto, a połowa rynku mieści się między 9640 a 16 380 zł brutto [Ogólnopolskie Badanie Wynagrodzeń, styczeń 2026, próba 319 osób].
Jedno zastrzeżenie: badanie prowadzi kategorię szerszą niż sam pentesting, obejmującą również inne role związane z bezpieczeństwem IT. Traktuj więc tę liczbę jako punkt odniesienia dla całego obszaru, a nie precyzyjną stawkę dla testera penetracyjnego.
Dla porównania w tym samym badaniu redaktor ma medianę 8030 zł, copywriter 7280 zł, a grafik komputerowy 7180 zł. Bezpieczeństwo IT wypada więc o połowę lepiej niż zawody kreatywne opisane w tej serii, co odzwierciedla zarówno wyższy próg wejścia, jak i realną odpowiedzialność. Widełki idą jeszcze wyżej przy pracy na kontraktach i przy certyfikatach praktycznych, choć tu dane rynkowe są mocno rozstrzelone i trudno je zweryfikować.
Porada od jobleer.pl: zanim zainwestujesz w drogi certyfikat, napisz trzy pełne raporty z testów przeprowadzonych na legalnym poligonie i pokaż je komuś z branży. Dowiesz się szybciej, czy ta praca Ci odpowiada, bo większość czasu spędzisz właśnie na opisywaniu znalezisk, a nie na samym ich szukaniu. Przy okazji zbudujesz portfolio, o które i tak zapyta każdy rekrutujący.
Czy warto wchodzić w ten zawód
Argument za jest policzalny: wynagrodzenia należą do najwyższych w branży, zapotrzebowanie ma podstawy strukturalne opisane wyżej, a praca bywa w dużej mierze zdalna. Argument przeciw też jest konkretny. Próg wejścia jest wysoki i wymaga miesięcy nauki przed pierwszym zleceniem, spora część zadań jest żmudna, a odpowiedzialność prawna i zawodowa realna.
To zawód dla osób, które lubią rozkładać systemy na części i potrafią potem jasno opisać, co znalazły. Jeśli rozważasz przebranżowienie i chcesz przegadać ten kierunek z kimś z zewnątrz, wyjaśniamy w osobnym tekście, czym zajmuje się doradca zawodowy i kiedy warto się do niego zgłosić. Inne ścieżki z naszej serii opisaliśmy w tekstach o zawodzie grafika komputerowego i redaktora, a jeśli szukasz zajęcia obok obecnej pracy, zajrzyj do zestawienia sposobów na dorobienie do pensji.
Najczęstsze pytania
Czym zajmuje się pentester?
Przeprowadza kontrolowane testy bezpieczeństwa systemów na zlecenie ich właściciela: szuka podatności, sprawdza, co da się z nich złożyć w realny scenariusz ataku, a następnie opisuje wyniki w raporcie razem z zaleceniami naprawy. Pracuje wyłącznie w uzgodnionym pisemnie zakresie.
Co to jest pentest?
Test penetracyjny to kontrolowany atak na system informatyczny, przeprowadzany za zgodą właściciela w celu wykrycia podatności, zanim wykorzysta je ktoś nieuprawniony. Od automatycznego skanowania różni się tym, że łączy narzędzia z rozumowaniem człowieka, który sprawdza logikę aplikacji i buduje z pojedynczych błędów pełne scenariusze.
Ile zarabia pentester?
Mediana w kategorii specjalistów do spraw bezpieczeństwa IT wynosi 12 250 zł brutto, czyli około 8680 zł netto, a połowa rynku mieści się między 9640 a 16 380 zł brutto [Ogólnopolskie Badanie Wynagrodzeń, styczeń 2026, próba 319 osób]. Kategoria jest szersza niż sam pentesting, więc to punkt odniesienia dla całego obszaru bezpieczeństwa IT.
Czy warto zostać pentesterem?
Zarobki należą do najwyższych w branży technologicznej, a zapotrzebowanie rośnie, bo coraz więcej kodu powstaje szybko i bez przeglądu pod kątem bezpieczeństwa. Trzeba jednak liczyć się z wysokim progiem wejścia, długą nauką przed pierwszym zleceniem oraz z tym, że znaczną część pracy stanowi dokumentowanie znalezisk, a nie samo ich szukanie.
