Dónde practicar hacking web legalmente: más de 30 plataformas y labs ordenados por nivel — BBLABS, PortSwigger, Hack The Box, TryHackMe, OWASP Juice Shop, Root Me y muchas más. Honesto y útil.
Gorka El Bochi
Fundador de BBLABS
Respuesta rápida: La mejor forma de aprender hacking web es practicar en entornos legales y deliberadamente vulnerables. Para empezar en español con fallos reales, BBLABS; para teoría web gratuita, PortSwigger Web Security Academy; para máquinas tipo boot2root, Hack The Box y TryHackMe. Abajo tienes 30+ opciones ordenadas por nivel y tipo, con para qué sirve cada una.
Hay decenas de plataformas, pero no todas sirven para lo mismo. Antes de la lista, tres reglas:
Vamos con las plataformas.
Empiezo por la propia casa porque resuelve el problema concreto de practicar bug bounty web en español con casos reales: cada lab de BBLABS reproduce una vulnerabilidad sacada de un reporte público real, lo lanzas directamente en el navegador (sin montar máquinas ni Docker) y lo recorres en orden con el roadmap del hunter, de fácil a difícil sin saltarte fundamentos. Si vienes de cero, combínalo con la ruta Aprender bug bounty. Es el punto de partida más directo si tu objetivo es reportar bugs de verdad, no solo resolver retos académicos.
Gratuita y posiblemente el mejor recurso de teoría web que existe. La hace la gente detrás de Burp Suite. Labs por temas (SQLi, XSS, SSRF, JWT, race conditions...) con dificultad creciente. Imprescindible.
La plataforma más conocida de máquinas vulnerables. Tiene módulos guiados (Academy) y máquinas estilo CTF. Más orientada a pentest de sistemas, pero con buena parte web.
La opción más amable para empezar. Salas (rooms) guiadas paso a paso, muchas gratuitas, con explicación incluida. Ideal si nunca has tocado una terminal.
Ejercicios muy centrados en web y código, con "badges" por temática. Excelente para entender el porqué de cada fallo, no solo el cómo.
Plataforma francesa (también en inglés) con cientos de retos cortos por categoría: web, criptografía, esteganografía, forense. Muy buena para sesiones rápidas.
Vídeos + CTF gratuito de HackerOne. Resolver sus retos puede darte invitaciones a programas privados. Pensado específicamente para bug bounty.
Material formativo gratuito de Bugcrowd: metodología, tipos de fallo y consejos de reporte. Bien para entender cómo piensa una plataforma.
Retos de la plataforma europea YesWeHack centrados en vulnerabilidades web concretas. Útil y en clave bug bounty real.
Estas las montas tú (Docker o local) y las rompes sin límites. Perfectas para trastear sin miedo:
La app vulnerable moderna por excelencia (JavaScript). Decenas de retos con tablero de puntuación. Mantenida por OWASP.
El clásico en PHP/MySQL. Niveles de seguridad (low/medium/high) para ver cómo cambia la explotación. Ideal para entender SQLi y XSS desde cero.
Lecciones interactivas de OWASP en Java. Más didáctico que Juice Shop, con explicación integrada.
"Buggy Web Application": más de 100 vulnerabilidades catalogadas. Veterana pero completísima como referencia.
App PHP con fallos mapeados directamente al OWASP Top 10. Buena para practicar categoría a categoría.
Web vulnerable pensada para probar escáneres y practicar recon sobre una tienda realista.
Repositorio enorme de máquinas vulnerables descargables (VMs) creadas por la comunidad. Gratis. Te las montas en VirtualBox y vas a por root.
CTF educativo de la Carnegie Mellon. Gratuito, con retos para principiantes. Muy bueno para fundamentos.
Wargames por SSH y web. Natas es la serie web: aprendes lógica de explotación nivel a nivel. Bandit te enseña Linux.
Una de las webs de retos más antiguas. Misiones de dificultad creciente, comunidad veterana.
No es una plataforma de práctica en sí, sino el calendario de todos los CTF del mundo. Para cuando quieras competir en eventos reales por equipos.
Retos CTF permanentes por categorías, con dificultad para principiantes. Buen complemento a picoCTF.
Retos oficiales de Google para entender XSS paso a paso. Cortos y muy didácticos.
Retos de XSS modernos y entretenidos para afilar el ojo con payloads.
Cada mes, Intigriti publica un reto de XSS público. Excelente para practicar bypasses creativos y compararte con la comunidad.
Los labs de nivel experto de PortSwigger (ya citados) merecen mención aparte: race conditions, HTTP request smuggling, prototype pollution. Estado del arte.
"Completely Ridiculous API": app vulnerable centrada en el OWASP API Security Top 10. Imprescindible si quieres especializarte en APIs.
API deliberadamente vulnerable (Flask) para practicar IDOR, autenticación rota y más, a nivel de endpoint.
Para aprender a atacar GraphQL: introspección, inyección, IDOR en resolvers. Nicho con poca competencia en bug bounty.
Cursos gratuitos sobre seguridad de APIs con labs incluidos. Teoría + práctica bien estructurada.
VM Linux llena de servicios vulnerables. Más de red/sistemas que web, pero referencia obligada para recon y explotación de servicios.
Retos de explotación binaria (pwn). Si quieres ir más allá de la web hacia el binario, empieza aquí.
Apps móviles vulnerables para quien quiera entrar en bug bounty de Android/iOS.
Otra fuente de máquinas tipo boot2root, con ranking y comunidad activa. Alternativa fresca a VulnHub.
Si te abruma la lista, este es el orden que recomiendo para bug bounty web:
La clave no es cuántas plataformas tocas, sino practicar en orden y de forma constante hasta que el fallo te salte a la vista solo.
¿Es legal practicar en estas webs?
Sí. Todas las de esta lista están diseñadas para ser hackeadas o son labs propios. Lo ilegal es atacar sistemas de terceros sin un programa o permiso explícito.
¿Cuál es la mejor para empezar de cero?
Para teoría web, PortSwigger (gratis). Para fallos reales en español sin montar nada, BBLABS. Para soltarte con la terminal, TryHackMe.
¿Gratis o de pago?
Hay muchísimo gratuito (PortSwigger, picoCTF, Juice Shop, OverTheWire). Las de pago suelen aportar rutas guiadas, soporte y contenido en orden, que ahorra muchísimo tiempo cuando empiezas.
¿Practicar labs sirve para ganar dinero en bug bounty?
Sirve para reconocer patrones, que es el 80 % del trabajo. Cuanto más se parezcan los labs a fallos reales (como los de reportes), menos distancia hay entre practicar y reportar de verdad.
No te hace falta probar las 30+: te hace falta elegir tres o cuatro y ser constante. Empieza por la teoría de PortSwigger, entrena el patrón con labs de casos reales en BBLABS siguiendo el roadmap, y cuando los fallos te resulten familiares, da el salto a un programa real con la base de Aprender bug bounty. La diferencia entre quien practica y quien cobra no es la plataforma: es la constancia.
hunters entrenando
labs de reportes reales
completaciones
en bounties practicados
Crea tu cuenta gratis y practica sobre labs basados en reportes reales que pagaron miles de euros. La Academy es gratis para siempre.
Sin tarjeta · Academy gratis · cancela cuando quieras
Aprende a identificar y explotar vulnerabilidades IDOR (Insecure Direct Object Reference) en aplicaciones web. Desde los conceptos básicos hasta la escritura de reportes efectivos.
Qué es el bug bounty, cómo funciona un programa paso a paso, en qué plataformas se hace (HackerOne, Bugcrowd, Intigriti, YesWeHack), cuánto se gana, si es legal y por dónde empezar desde cero.
Cuánto paga de verdad el bug bounty: recompensas medias por tipo de vulnerabilidad y severidad, lo que ganan los top hunters, la realidad para principiantes y por qué la mayoría no vive de esto.