eJPT, OSCP ou CEH? Qual certificação de pentest vale a pena em 2026
Certificação de segurança ofensiva é um assunto que gera muito ruído. Tem quem diga que “certificado não vale nada” e quem trate a OSCP como diploma de medicina. A verdade fica no meio: certificação não substitui habilidade, mas ainda é o filtro de currículo em boa parte das vagas — principalmente no Brasil, onde o RH nem sempre sabe avaliar a parte técnica.
Abaixo, o comparativo das quatro mais procuradas, sem propaganda.
eJPT — o primeiro passo
- Quem oferece: INE (ex-eLearnSecurity)
- Formato: prova prática em laboratório, ~48h, com questões de múltipla escolha respondidas a partir do que você compromete no ambiente.
- Custo: baixo (a assinatura da INE costuma sair mais em conta que o voucher avulso da maioria).
- O que prova: que você consegue fazer um pentest simples ponta a ponta — enumerar, encontrar o vetor, explorar, pivotar um pouco.
É a recomendação quase unânime da comunidade como primeiro certificado. Não porque impressione recrutador sênior, mas porque te obriga a encadear um ataque inteiro sem dica, o que é exatamente o pulo do gato para quem vem só de curso.
CPTS — a queridinha custo-benefício
- Quem oferece: Hack The Box
- Formato: exame de 10 dias num ambiente realista de rede corporativa + relatório profissional obrigatório. Sem relatório aceitável, você não passa.
- Custo: médio, e o material de estudo (o job role path) já vem incluso.
- O que prova: pentest de infraestrutura interna com Active Directory, movimentação lateral, e — o diferencial — capacidade de documentar.
Ganhou muito espaço porque cobre o gap clássico entre o eJPT e a OSCP com uma didática melhor que a da própria OSCP em alguns tópicos. Se você tivesse que escolher uma só hoje, CPTS é uma resposta defensável.
OSCP — ainda é o nome que abre porta
- Quem oferece: OffSec
- Formato: prova de 24 horas hackeando máquinas + 24h para o relatório. Sistema de pontos, com uma cadeia de Active Directory que vale peso grande.
- Custo: alto (curso PEN-200 + voucher).
- O que prova: resiliência sob pressão, enumeração teimosa, e que você não desiste quando trava. O famoso “try harder”.
Continua sendo, em 2026, o requisito que mais aparece em vaga de pentester mid/sênior no Brasil. Não é a prova mais realista nem a mais didática — mas é a mais reconhecida. Faça depois de já estar confortável em laboratório; ela não é lugar para aprender o básico.
CEH — a de edital
- Quem oferece: EC-Council
- Formato: prova majoritariamente teórica de múltipla escolha (há uma versão prática separada, a CEH Practical, bem menos exigida).
- Custo: alto para o que entrega.
- O que prova: que você decorou terminologia e um monte de nome de ferramenta.
É útil num cenário específico: concurso público, licitação e empresa cujo edital exige “CEH ou equivalente”. Como prova de habilidade técnica, é a mais fraca da lista. Não comece por ela achando que vai aprender a fazer pentest.
Comparativo rápido
| eJPT | CPTS | OSCP | CEH | |
|---|---|---|---|---|
| Prática real | ✅ | ✅✅ | ✅✅ | ❌ |
| Relatório exigido | ❌ | ✅ | ✅ | ❌ |
| Reconhecimento RH (BR) | médio | crescendo | alto | alto (edital) |
| Foco em Active Directory | leve | forte | forte | teórico |
| Bom como 1º certificado | ✅ | possível | ❌ | ❌ |
| Custo relativo | $ | $$ | $$$ | $$$ |
A ordem que faz sentido
Para quem está construindo carreira em ofensiva do zero:
- eJPT — destrava a confiança e o encadeamento de ataque.
- CPTS — profundidade em infra interna + hábito de relatório.
- OSCP — quando já não te assusta, para carimbar o currículo em vaga sênior.
- CEH — só se um edital te obrigar.
E o lembrete de sempre: recrutador experiente vai olhar seu GitHub, seus writeups e como você raciocina numa entrevista técnica antes de olhar a sigla no rodapé do currículo. Certificação abre a porta; o que te mantém na sala é o que você sabe fazer.