Curso Gratuito de Pentest para Iniciantes (2026)

O melhor curso gratuito de pentest pra quem tá começando não é um curso único — é uma combinação de três coisas de graça: as salas gratuitas do TryHackMe ou do Hack The Box pra prática, o curso online gratuito da ESET em parceria com a Solyd pra teoria em português, e disciplina pra treinar redes e Linux antes de tudo, porque sem essa base o resto não gruda.

Eu já vi gente de QA migrar pra pentest achando que ia sair direto invadindo sistema de verdade, e se frustrar rápido quando percebe que os primeiros meses são muito mais sobre entender como uma rede funciona do que sobre explorar vulnerabilidade. Isso não é desanimador, é só realista.

TryHackMe e Hack The Box: a camada gratuita já ensina muito

Tanto o TryHackMe quanto o Hack The Box têm salas e máquinas gratuitas o suficiente pra você passar meses aprendendo sem pagar nada — a diferença entre os dois é mais sobre estilo de ensino do que sobre qual é “melhor”. Já comparei os dois em detalhe no TryHackMe ou Hack The Box: qual escolher, vale a leitura antes de decidir onde focar seu tempo gratuito. Essas duas plataformas são praticamente o ponto de partida padrão de qualquer curso gratuito de pentest bem estruturado.

O curso gratuito da ESET em parceria com a Solyd, em português

Um desses cursos gratuitos em português que costuma passar despercebido é o que a ESET disponibilizou em parceria com a Solyd, cobrindo hacking ético e testes de intrusão do zero. Não substitui a prática do TryHackMe, mas ajuda a organizar o vocabulário técnico antes de entrar direto na mão na massa.

O conteúdo da ESET cobre reconhecimento de rede, exploração básica de vulnerabilidades web e um apanhado geral de metodologia — nada muito avançado, mas cobre o vocabulário que depois aparece em toda prova e entrevista técnica. Pulei direto pras salas práticas quando comecei e me arrependi: voltei semanas depois pra assistir essas aulas porque sentia que estava decorando passo a passo sem entender o porquê de cada etapa.

Alison e outras plataformas de “diploma gratuito”: vale a pena?

Plataformas como a Alison oferecem “diplomas” gratuitos de hacking ético e fundamentos de rede. Servem como introdução tranquila, mas não têm o peso de uma certificação reconhecida pelo mercado — trato como leitura complementar, não como credencial pra colocar no currículo esperando que abra porta sozinha.

O fundamento que nenhum curso gratuito de pentest pode pular

Nenhum desses cursos decola sem uma base mínima de redes (TCP/IP, portas, protocolos) e Linux na linha de comando. É tentador pular direto pra sala de captura de flag mais “divertida”, mas sem esse alicerce você fica decorando comando sem entender o porquê — e trava assim que o cenário muda um pouco do que foi ensinado no vídeo. Pular essa base é o erro mais comum de quem tenta acelerar além do que o curso gratuito de pentest realmente ensina.

Pra treinar essa base sem gastar nada, o Linux Journey ensina linha de comando de um jeito mais leve que um curso tradicional, e as primeiras fases do OverTheWire Bandit forçam você a praticar SSH, permissões e manipulação de arquivo sem nenhum ambiente gráfico pra te segurar a mão. Juntando isso com os módulos introdutórios de rede do próprio TryHackMe, dá pra fechar essa base em algumas semanas antes de voltar pras salas de CTF com bem mais confiança.

Depois do curso gratuito, qual o próximo passo

Depois de esgotar o conteúdo gratuito, o caminho natural costuma ser avaliar se vale investir numa trilha paga do próprio TryHackMe/HTB ou partir direto pra uma certificação. Quem já está nessa decisão pode ver se a CEH vale a pena nesse momento da carreira, e entender melhor a rotina real de quem trabalha como pentester júnior antes de continuar investindo tempo e dinheiro nessa direção.

Antes mesmo de pensar em certificação paga, vale montar um portfólio simples com os writeups das máquinas e salas que você já resolveu de graça — documentando o raciocínio, não só o resultado final. É o tipo de material que recrutador técnico valoriza mais, porque mostra como você pensa, não só se você já terminou um curso desses de graça.

O que fazer depois de terminar o curso gratuito

Terminar um curso gratuito de pentest é só o primeiro degrau, e eu já vi muita gente travar justamente aqui, achando que o certificado de conclusão do curso já é suficiente para aplicar para vaga. Na prática, o que realmente conta depois é construir um histórico verificável de prática: resolver máquinas de dificuldade crescente em plataformas como TryHackMe ou Hack The Box, documentar o processo de cada uma num blog ou repositório público, e participar de CTFs (competições de captura de bandeira) para testar seu raciocínio sob pressão de tempo contra outras pessoas.

Esse portfólio público é o que substitui a falta de experiência formal numa entrevista. Um recrutador técnico de segurança consegue avaliar muito mais sobre sua capacidade real olhando um write-up bem escrito de como você resolveu uma máquina complexa do que olhando qualquer certificado de curso introdutório — porque o write-up mostra metodologia, raciocínio e capacidade de comunicação técnica, as três coisas que decidem se alguém passa de pentester júnior para pleno.

Erros comuns de quem começa só com curso gratuito

O erro mais frequente é empilhar curso atrás de curso sem nunca aplicar o conhecimento em algo além do próprio ambiente controlado do curso. Isso cria uma falsa sensação de progresso — você termina o quinto curso introdutório, mas ainda não consegue resolver uma máquina nova sem seguir um tutorial passo a passo. Em algum momento é preciso parar de consumir conteúdo novo e passar a praticar sem rede de segurança, mesmo que isso signifique travar, pesquisar, errar e recomeçar várias vezes numa única máquina. Reconhecer esses erros evita que o curso gratuito de pentest vire só uma coleção de certificados sem prática real.

O segundo erro é ignorar a parte de redação de relatório, que parece burocrática mas é exatamente o que separa quem só sabe invadir de quem consegue trabalhar profissionalmente como pentester. Toda consultoria de segurança séria entrega um relatório estruturado para o cliente, e essa habilidade de documentar e comunicar o que foi encontrado de forma clara vale tanto quanto a habilidade técnica de exploração em si — e é um dos primeiros filtros que diferenciam currículos numa vaga real.

Quanto tempo leva para sair do curso gratuito e chegar numa vaga

Eu costumo dar uma estimativa realista de 6 a 12 meses entre começar do zero com cursos gratuitos e conseguir a primeira oportunidade remunerada em pentest, considerando dedicação consistente de algumas horas por semana. Isso inclui o tempo de prática em plataformas de CTF, a construção do portfólio público e, na maioria dos casos, pelo menos uma certificação de entrada como a CompTIA Security+ ou a eJPT, que custam bem menos que a OSCP e servem como ponte entre o conhecimento gratuito e credenciais mais avançadas. Esse prazo varia, mas quem combina curso gratuito de pentest com prática em CTFs tende a chegar lá mais rápido.

Esse prazo varia bastante conforme a base técnica anterior. Quem já vem de QA ou desenvolvimento, com familiaridade de redes e sistemas operacionais, tende a avançar mais rápido pelos cursos introdutórios e chega à fase prática de CTFs antes. Quem está começando do absoluto zero em tecnologia precisa investir tempo adicional nos fundamentos de redes e Linux antes mesmo de sentir progresso real nos desafios de pentest propriamente ditos.

De qualquer forma, o conselho que mais repito é: comece a construir o portfólio público desde o primeiro curso gratuito, não espere “estar pronto”. Documentar o aprendizado em tempo real, mesmo com erros e dúvidas visíveis, mostra autenticidade e evolução — e isso pesa mais numa entrevista do que um perfil que só aparece depois de meses escondido estudando em silêncio.

E não subestime o valor de participar de comunidades — fóruns, servidores de Discord e grupos locais de cibersegurança trocam dica de vaga, revisam write-up de colega e encurtam bastante esse caminho sozinho.

Perguntas frequentes

Preciso saber programar para fazer um curso gratuito de pentest?

Não no início. Scripting em Python ou Bash ajuda bastante mais pra frente, quando você começa a automatizar tarefas repetitivas, mas os primeiros meses são mais sobre redes, Linux e lógica de exploração manual.

Quanto tempo leva para terminar o conteúdo gratuito e ficar pronto pro mercado?

Isso varia demais pra dar um número fechado e honesto. Tem gente relatando 6 meses de dedicação intensa, outras fontes falam em 1 a 2 anos até uma vaga júnior — depende da sua base anterior em TI e de quantas horas por semana você realmente consegue dedicar.

Vale a pena escolher qual área de cibersegurança seguir antes de começar o curso gratuito?

Ajuda, mas não é obrigatório logo de cara. Se quiser já entender as diferenças entre pentest e as outras frentes da área antes de investir tempo, vale comparar GRC, SOC ou pentest e decidir com mais clareza.

Dá pra conseguir uma vaga de pentest júnior usando só os cursos gratuitos, sem nenhuma certificação paga?

Em teoria sim, mas na prática é raro e exige muito mais tempo de portfólio pra compensar a falta do papel. A maioria das vagas júnior que vi abertas pede pelo menos uma certificação de entrada (geralmente CompTIA Security+ ou algo equivalente) ou um histórico de CTF bem documentado — os cursos gratuitos constroem a base, mas sozinhos raramente são o suficiente pra passar pela triagem de currículo.