Certificación CEH en 2026: qué es, cuánto cuesta y si merece la pena

Qué es el CEH y qué certifica realmente

El CEH, o Certified Ethical Hacker, es la certificación de ciberseguridad más conocida fuera del sector técnico. La emite EC-Council y se presenta como la credencial del "hacker ético": alguien capaz de pensar como un atacante para anticiparse. Esa popularidad es también su problema, porque mucha gente la compra esperando una prueba práctica de hacking y se encuentra con un examen tipo test. Antes de gastarte el dinero conviene entender qué certifica de verdad, en qué se diferencia del OSCP y para qué perfiles tiene sentido.

Cómo son los exámenes: CEH clásico, CEH Practical y CEH Master

Conviene separar dos cosas que suelen confundirse: el reconocimiento de mercado y la capacidad técnica demostrada. El CEH gana en lo primero —aparece en ofertas de empleo, filtros de selección y requisitos de organismos públicos— y pierde en lo segundo frente a una certificación práctica. Quien contrata una auditoría no debería elegir a un proveedor por el número de certificados, sino por la metodología y los informes, exactamente igual que con cualquier otra credencial.

Cuánto cuesta el CEH en 2026 y cada cuánto hay que renovarlo

Este artículo explica qué certifica el CEH, cómo son sus exámenes, cuánto cuesta, cada cuánto hay que renovarlo y en qué casos sale a cuenta frente a alternativas como el OSCP o el CRTO.

CEH frente a OSCP: para quién es cada uno

El CEH lo emite EC-Council y acredita conocimientos teóricos sobre metodología de ataque: reconocimiento, escaneo, enumeración, análisis de vulnerabilidades, explotación y las distintas familias de ataque por superficie. También cubre el lado normativo y ético de un ejercicio de intrusión, que es la parte que más lo diferencia de una certificación puramente ofensiva.

Para quién merece la pena el CEH y para quién no

Certifica criterio y vocabulario, no destreza manual. El examen principal es de opción múltiple, así que obtenerlo demuestra que conoces los conceptos y la metodología, no que hayas comprometido un sistema real contra el reloj. Eso, que para un perfil de gestión o de cumplimiento es aceptable, para quien va a ejecutar auditorías es una limitación importante, y la mayoría de equipos de seguridad lo sabe.

Hay dos exámenes diferentes y muchas veces se venden como si fueran lo mismo. El examen CEH clásico, en su forma acreditada por ANSI, es tipo test: en torno a 125 preguntas de opción múltiple en cuatro horas, con una nota de corte que varía según la versión del temario. Es el que da el título "CEH" a secas.

El CEH Practical es la prueba práctica: unas seis horas para resolver un rango de retos reales en un laboratorio, con una puntuación mínima en torno al 70%. Demuestra manos, pero no llega a la profundidad de un OSCP, que exige encadenar máquinas y entregar un informe profesional. Quien supera los dos obtiene la distinción CEH Master.

Para presentarse hay que cumplir el requisito de elegibilidad de EC-Council, que se cubre bien haciendo una formación acreditada o bien solicitando la elegibilidad por experiencia y aprobando el examen de acceso. No es un examen que se pueda comprar y hacer sin más: hay un trámite previo.

Las cifras publicadas varían y cambian a menudo, así que aquí van como orden de magnitud, no como precio cerrado. El vale del examen teórico se ha movido históricamente alrededor de los 1.100-1.200 dólares, y el del CEH Practical en una franja de 500-600 dólares. Los paquetes con formación obligatoria y laboratorios se van con frecuencia por encima de los 2.000-3.000 dólares, que es donde entra la mayoría de la gente.

A eso se suma la renovación. El CEH no se obtiene para siempre: exige renovar cada tres años, ya sea acumulando créditos de educación continua o pagando una cuota anual. Antes de comprar, verifica precios y condiciones directamente con EC-Council, porque son cambiantes.

La comparación es inevitable y la respuesta depende del objetivo. El CEH es fuerte donde el OSCP es débil: reconocimiento por parte de departamentos de recursos humanos y de organismos públicos, cobertura conceptual amplia y alineación con marcos como los requisitos de la administración. El OSCP es fuerte donde el CEH es débil: demuestra capacidad práctica de comprometer sistemas y documentarlo, y es la credencial que más valoran los equipos técnicos que contratan pentesting.

Si tu objetivo es pasar un filtro de selección o cumplir un requisito formal, el CEH cumple. Si tu objetivo es trabajar de pentester y que un equipo técnico confíe en tus manos, el OSCP rinde más. Y si ya eres un perfil ofensivo que quiere especializarse en evasión o en Active Directory avanzado, la ruta del CRTO tiene más retorno por hora invertida. Enlazamos las tres comparaciones por si quieres profundizar: OSCP, CRTO y formación ofensiva en general.

Merece la pena para quien necesita el título para un requisito concreto: un puesto que lo pide expresamente, la administración pública, un marco que lo contempla o un currículum que compite por filtros automáticos. También para perfiles que empiezan y quieren un mapa ordenado del temario antes de meterse en laboratorios duros.

No merece la pena como sustituto de la experiencia práctica. Un CEH no convierte a nadie en pentester, y presentarlo como tal ante un cliente técnico genera el efecto contrario al deseado. Tampoco sustituye a la evidencia de haber auditado sistemas reales: ante un cliente, lo que pesa es el informe entregado, no el certificado colgado en la pared.

Desde la perspectiva de quien contrata una auditoría, el CEH de un proveedor dice bastante poco: acredita que conoce la teoría, no que vaya a encontrar los fallos que importan en tu sistema. Lo que discrimina de verdad es la metodología declarada, el proceso de control de calidad de los informes, la cobertura real del alcance —red interna, aplicaciones, cloud, Active Directory, código— y referencias de proyectos comparables.

En MagnoSec trabajamos con auditores certificados, pero lo que ponemos delante del cliente no es el certificado: es la metodología, el informe y la trazabilidad del ejercicio. Si quieres ver qué incluye un servicio real y cómo se cierra un alcance, está en contratar un pentesting. Y si estás eligiendo qué certificación estudiar, empieza por la guía de certificaciones de ciberseguridad.