OSCP, CREST czy CEH? Który certyfikat pentestera naprawdę coś znaczy w 2026 roku

OSCP, CREST i CEH to trzy skróty, które pojawiają się w niemal każdym ogłoszeniu o pracę dla testera penetracyjnego. Różnią się jednak tym, co faktycznie weryfikują. OSCP sprawdza, czy potrafisz wejść do systemu. CREST decyduje o tym, czy twoja firma może podpisać zlecenie dla brytyjskiego sektora publicznego. CEH pozwala działowi HR odhaczyć pozycję w formularzu. Poniżej aktualne na wrzesień 2026 formaty egzaminów, realne koszty i rzecz, o której nie mówi żaden z tych trzech certyfikatów.

Krótka odpowiedź

Jeżeli chcesz pracować jako pentester i masz do wydania jedne pieniądze: OSCP. Jeżeli pracujesz w firmie świadczącej usługi dla klientów z Wielkiej Brytanii: CREST, ale to decyzja pracodawcy, nie twoja. Jeżeli startujesz w przetargu publicznym albo aplikujesz do korporacji z amerykańskim rodowodem: CEH, najlepiej za cudze pieniądze.

I żaden z nich nie nauczy cię tego, co zajmuje większość czasu w tej pracy.

Co myśli większość: certyfikat otwiera drzwi

Dominujące przekonanie brzmi tak: zdobywasz certyfikat, wpisujesz go do CV, dostajesz pracę. Stąd bierze się popularność kursów, które obiecują „certyfikat w 5 dni" i bootcampów sprzedawanych jako przepustka do branży.

Rynek działa inaczej. Certyfikat nie otwiera drzwi — on przechodzi przez filtr. To zupełnie inna funkcja. Filtr odsiewa, ale nie zatrudnia. Zatrudnia rozmowa techniczna, w której ktoś zadaje pytanie o eskalację uprawnień w konkretnym scenariuszu i słucha, jak myślisz.

Co wiedzą praktycy: certyfikaty mierzą trzy różne rzeczy

Zawodowcy nie porównują tych trzech egzaminów, bo one nie konkurują ze sobą. Każdy z nich odpowiada na inne pytanie.

CertyfikatNa jakie pytanie odpowiadaKto go realnie wymagaOSCPCzy ten człowiek potrafi włamać się do sieci?zespoły techniczne, firmy pentesterskieCRESTCzy ta firma może legalnie fakturować za test w UK?klienci z sektora publicznego w UKCEHCzy kandydat spełnia formalne kryterium?HR, przetargi, administracja

OSCP — jedyny z trzech, którego nie da się zdać z pamięci

W spowiedzi etycznego hakera z czternastoletnim stażem pada zdanie, które dobrze oddaje różnicę między tym egzaminem a resztą rynku: OSCP to jedyny egzamin, którego nie da się zdać na pamięć. Albo wejdziesz do maszyny, albo nie wejdziesz. Nie ma częściowego kredytu za dobre chęci.

Formalny stan na 2026 rok wygląda tak:

• Format: 23 godziny 45 minut praktycznego testu penetracyjnego + 24 godziny na napisanie raportu
• Zawartość: trzy samodzielne maszyny (po 20 punktów) plus zestaw Active Directory — dwie stacje i kontroler domeny — wart 40 punktów
• Próg zaliczenia: 70 na 100 punktów
• Koszt: 1749 USD za pakiet PEN-200 z 90 dniami labów i jednym podejściem; 1699 USD za sam egzamin bez kursu; 2749 USD za roczną subskrypcję Learn One z dwoma podejściami; 249 USD za poprawkę
• Przygotowanie: realnie 250–600 godzin praktyki, 3–6 miesięcy przy pracy etatowej

Haczyk, o którym mało kto mówi: rozdzielenie OSCP i OSCP+

Od listopada 2024 jedno podejście daje dwa tytuły. OSCP jest bezterminowy i to o nim mówią rekruterzy. OSCP+ wygasa po trzech latach i wymaga odnowienia — punktami CPE, egzaminem recertyfikacyjnym albo zdobyciem innego certyfikatu OffSec, na przykład OSEP. Szczegóły są opisane w oficjalnym FAQ OffSec.

To nie jest zmiana merytoryczna. To zmiana modelu przychodowego. Certyfikat bezterminowy jest sprzedawany raz. Certyfikat wygasający generuje przychód cyklicznie, a jednocześnie zachowanie starej, dożywotniej marki chroni firmę przed buntem posiadaczy. Ta sama mechanika powtarza się u każdego dużego wystawcy certyfikatów — i jest najlepszym wyjaśnieniem, dlaczego liczba certyfikatów na rynku rośnie szybciej niż liczba rzeczy, których trzeba się nauczyć.

CREST — certyfikat rynku, nie umiejętności

CREST to brytyjska organizacja akredytująca zarówno firmy, jak i indywidualnych testerów. Ścieżka ma trzy poziomy:

• CPSA (Practitioner Security Analyst) — 120 pytań zamkniętych, 2 godziny, próg 60%, około 2500 godzin doświadczenia rekomendowane. Opłata rzędu 275 GBP dla firm spoza CREST, ok. 192,50 GBP dla członków.
• CRT (Registered Tester) — egzamin praktyczny, wymaga wcześniejszego CPSA, około 6000 godzin doświadczenia, opłata rzędu 600 GBP. To poziom uznawany w brytyjskim schemacie CHECK prowadzonym przez NCSC.
• CCT (Certified Tester) — około sześciu godzin praktyki na żywych systemach, ok. 10 000 godzin doświadczenia, opłata rzędu 800 GBP.

Istnieje ścieżka równoważności: posiadacz OSCP lub OSCP+ plus CPSA może wnioskować o CRT bez zdawania egzaminu. Z jednym zastrzeżeniem, które decyduje o wszystkim — ta ścieżka nie jest akceptowana dla tytułów CHECK Team Member. Do pracy przy brytyjskich zleceniach publicznych trzeba zdać CRT normalnie. Aktualne warunki warto sprawdzić bezpośrednio na stronie CREST.

Ukryta warstwa: CREST sprzedaje dostęp do rynku, nie ocenę kompetencji

Indywidualne certyfikaty to tylko część modelu. Druga część to akredytacja firm: opłata aplikacyjna rzędu 1200 GBP, opłata wstępna zależna od przychodu organizacji, plus roczna składka. Firma potrzebuje certyfikowanych ludzi, żeby uzyskać akredytację. Akredytacja daje dostęp do przetargów. Przetargi finansują pensje, z których opłaca się kolejne certyfikaty.

To zamknięta pętla i działa dokładnie tak, jak została zaprojektowana. Dla polskiego pentestera oznacza to prostą konsekwencję: CREST ma sens wyłącznie wtedy, gdy twój pracodawca obsługuje brytyjskich klientów i sam płaci za egzamin. Kupowanie go z własnej kieszeni „na wszelki wypadek" to finansowanie cudzego modelu biznesowego.

CEH — filtr HR-owy w cenie sportowego roweru

Certified Ethical Hacker od EC-Council to egzamin teoretyczny: 125 pytań wielokrotnego wyboru, 4 godziny, próg zaliczenia ruchomy w przedziale 60–85% zależnie od wersji zestawu. Voucher kosztuje w okolicach 950–1199 USD zależnie od kanału. Certyfikat jest ważny 3 lata i wymaga 120 punktów ECE oraz rocznej składki członkowskiej. Opcjonalny CEH Practical to sześciogodzinny egzamin praktyczny; zdanie obu daje tytuł CEH Master. Aktualne warunki są na stronie EC-Council.

Techniczna społeczność traktuje CEH pobłażliwie i ma ku temu powód: egzamin wielokrotnego wyboru nie może zweryfikować umiejętności, której istotą jest improwizacja. Ale odrzucanie go w całości to błąd analityczny.

CEH figuruje na amerykańskiej liście DoD 8570/8140. To sprawia, że w niektórych konkursach i przetargach jest wymogiem formalnym — nie dlatego, że ktoś wierzy w jego wartość merytoryczną, tylko dlatego, że urzędnik potrzebuje kryterium, które da się wpisać do tabeli. Jeżeli trafiasz na taki przetarg, CEH nie jest certyfikatem umiejętności. Jest kosztem wejścia. Wtedy się opłaca. W każdej innej sytuacji te 1200 dolarów kupi ci pół roku labów i trzy tańsze certyfikaty praktyczne.

Czego nie mierzy żaden z tych egzaminów

Tu jest najważniejsza asymetria całej branży.

Doświadczeni testerzy zgodnie podają, że pisanie raportów to około 70% pracy. Klient nie kupuje włamania. Klient kupuje dokument, na podstawie którego jego zespół naprawi to, co jest zepsute, a zarząd zdecyduje o budżecie. Raport zwykle ma dwie wersje: techniczną z adresami IP i krokami odtworzenia oraz dwustronicową menedżerską bez technikaliów.

Żaden z trzech omawianych egzaminów nie sprawdza:

• umiejętności negocjowania zakresu — co wolno atakować, czy phishing pracowników jest w zakresie, czy test ma być cichy
• oceny ryzyka biznesowego — podatność krytyczna w systemie odciętym od sieci bywa mniej istotna niż średnia w systemie obsługującym płatności
• odporności na presję klienta — sytuacja, w której zarząd prosi, żeby raport „brzmiał optymistycznie" przed audytem, zdarza się częściej, niż branża przyznaje
• higieny etycznej — co zrobić z informacją, na którą trafiłeś legalnie, w zakresie zlecenia, ale która nie miała nic wspólnego z bezpieczeństwem

Konsekwencja jest policzalna: dwie osoby z tym samym OSCP mogą różnić się stawką o 100%. Rynek płaci nie za certyfikat, tylko za to, czy potrafisz zamienić dostęp w zrozumiały dla klienta dokument.

Tańsze certyfikaty o lepszym stosunku kosztu do sygnału

Trzy nazwy, których nie ma w typowych zestawieniach, a które mają najlepszą asymetrię cena/dowód umiejętności:

• BSCP (Burp Suite Certified Practitioner od PortSwigger) — kilkadziesiąt dolarów, egzamin praktyczny z aplikacji webowych. Jeżeli robisz testy aplikacji, to najtańszy wiarygodny dowód kompetencji na rynku.
• PNPT (TCM Security) — pięciodniowy egzamin zakończony raportem i obowiązkowym omówieniem wyników na żywo. Jako jedyny wprost egzaminuje z raportowania i komunikacji.
• CPTS (Hack The Box) — rozbudowany egzamin praktyczny z wymogiem pełnego raportu, zauważalnie tańszy od OSCP.

W polskich ogłoszeniach rekrutacyjnych PNPT i eJPT pojawiają się coraz częściej w sekcji „mile widziane" obok OSCP — co oznacza, że filtr HR już je akceptuje.

Realia polskiego rynku

Popyt napędza dziś nie moda, tylko regulacja. Wdrożenie NIS2 i nowelizacja ustawy o KSC rozszerzają krąg podmiotów zobowiązanych do regularnych testów bezpieczeństwa. Efekt widać w ogłoszeniach: obok stanowisk pentesterskich rosną liczebnie role konsultantów ds. zgodności.

Praktyczny wniosek dla planującego karierę: regulacja tworzy popyt na dokumentację, nie na eksploitację. Pentester, który potrafi napisać raport zgodny z wymogami audytowymi, ma dziś mocniejszą pozycję negocjacyjną niż pentester, który zna o trzy techniki eskalacji więcej.

Najczęstsze pytania

Czy OSCP wystarczy, żeby dostać pierwszą pracę jako pentester?

Zwykle tak, w połączeniu z publicznym dorobkiem — write-upami, wynikami z platform CTF albo zgłoszeniami w programach bug bounty. Sam certyfikat bez żadnego śladu praktyki bywa traktowany jako sygnał, że ktoś przeszedł kurs, ale nie testował niczego poza labem.

Ile realnie kosztuje zdobycie OSCP?

Opłata to 1699–1749 USD, ale całkowity koszt jest wyższy: doliczyć trzeba ewentualną poprawkę (249 USD), subskrypcje platform treningowych i własny VPS. Realistyczny budżet to 2000–2500 USD.

Czy CEH jest bezwartościowy?

Nie — jest źle rozumiany. Nie jest dowodem umiejętności, tylko kryterium formalnym. Wartość ma tam, gdzie ktoś wymaga go na papierze.

Ile trwa przygotowanie do OSCP przy pracy na pełen etat?

Najczęściej 4–6 miesięcy przy 10–15 godzinach tygodniowo. Największym problemem nie jest materiał, tylko wytrzymałość podczas samego egzaminu — 24 godziny ciągłej pracy plus doba na raport.

Od czego zacząć, jeśli nie mam żadnego doświadczenia?

Od podstaw sieci i systemów, potem platformy treningowe, potem tani certyfikat praktyczny jako pierwszy dowód (eJPT lub BSCP), a dopiero na końcu OSCP. Odwrotna kolejność kosztuje najczęściej jedną nieudaną próbę egzaminu.

‍