Cómo hacer bug bounty, paso a paso

Los 6 pasos para hacer bug bounty

No es magia ni suerte: es un proceso repetible. Estos son los pasos que ejecutas en cada programa, en orden.

1. 1. Elige plataforma y programa (y lee el scope)

   Regístrate en HackerOne, Bugcrowd, Intigriti o YesWeHack y elige un programa con scope amplio (muchos subdominios) y buena reputación de pago. Lee el scope y el out-of-scope al detalle: la mitad de los reportes rechazados lo son por atacar algo fuera de scope. Empieza por VDPs o programas para principiantes si es tu primera vez.

2. 2. Reconocimiento (recon)

   Mapea toda la superficie: enumera subdominios (subfinder, amass), descubre endpoints y parámetros (ffuf, gau, waybackurls), identifica tecnologías (Wappalyzer) y lee el JavaScript en busca de rutas de API y claves. El objetivo es tener más superficie que el resto de hunters — donde nadie mira es donde están los bugs.

3. 3. Aplica una metodología por vulnerabilidad

   No pruebes al azar. Para cada funcionalidad, recorre las clases de vulnerabilidad con checklist: control de acceso e IDOR, XSS, SSRF, inyecciones, CSRF, fallos de lógica de negocio, subida de archivos, redirecciones abiertas… Prioriza las que más pagan y las que peor cubre el equipo de seguridad (la lógica de negocio no la detecta ningún escáner).

4. 4. Encuentra y confirma el bug

   Cuando algo se comporta raro, aíslalo con Burp Suite: repite la petición, cambia un identificador, prueba un payload, observa la respuesta. Confirma que es explotable de verdad (impacto real) y no un falso positivo. Un bug que no puedes reproducir de forma fiable no es un bug reportable.

5. 5. Escribe el reporte

   Un buen reporte se paga; uno malo se cierra como duplicado o informativo. Incluye: título claro, resumen del impacto en el negocio, pasos de reproducción numerados, una prueba de concepto (petición/vídeo) y una sugerencia de mitigación. Escribe pensando en el triager que lo lee con prisa.

6. 6. Cobra, aprende y especialízate

   Cuando el programa valida el bug, cobras la recompensa. Lee cada reporte público que salga en tu categoría, ajusta tu checklist con lo que se te escapó y especialízate en 1-2 clases de vulnerabilidad: la especialización es lo que separa a quien encuentra un bug al año de quien vive de esto.

Qué necesitas para empezar a hacerlo hoy

• Fundamentos de web: HTTP, cookies/sesiones, HTML y algo de JavaScript.
• Un proxy: Burp Suite (Community sirve para empezar) o Caido.
• Entender las clases de vulnerabilidad más comunes (OWASP Top 10).
• Una cuenta en una plataforma de bug bounty y paciencia — los primeros bugs tardan.

No necesitas ser programador senior ni tener una certificación. Necesitas método y práctica sobre bugs reales.

El stack básico de un hunter web: Burp Suite (proxy), subfinder/amass (subdominios), ffuf (fuzzing de rutas y parámetros), nuclei (escaneo por plantillas), httpx y gau/waybackurls (recon de URLs). No necesitas todas desde el día 1.

• Atacar fuera de scope — reporte rechazado y strike a tu reputación.
• Saltarte el recon y probar solo la página principal (donde ya han mirado 500 hunters).
• Ir a por lo mismo que todos (XSS reflejado en el buscador) en vez de lógica de negocio.
• No leer reportes públicos — repites errores que otros ya documentaron.
• Rendirte a la semana. El primer bug puede tardar semanas; es normal.

Preguntas frecuentes

• ¿Cuánto se tarda en encontrar el primer bug?

  Depende de tu base y de las horas, pero es normal tardar de varias semanas a unos meses con práctica constante. Practicar sobre bugs reales replicados acelera mucho el proceso porque entrenas el ojo antes de ir a un programa real.

• ¿Necesito saber programar para hacer bug bounty?

  No a nivel senior. Necesitas entender HTTP, HTML y algo de JavaScript para leer respuestas y modificar peticiones. Saber programar ayuda a automatizar recon, pero no es un requisito para encontrar tus primeros bugs.

• ¿Es legal hacer bug bounty?

  Sí, siempre que actúes dentro del scope de un programa que autoriza explícitamente las pruebas. Atacar sistemas sin autorización es ilegal. Por eso se practica en labs (entornos propios y seguros) y luego en programas con permiso.

• ¿Cuánto se gana haciendo bug bounty?

  Varía enormemente: desde recompensas de decenas de euros por fallos leves hasta miles por vulnerabilidades críticas. Los hunters top viven de ello, pero la mayoría empieza combinándolo con estudios o trabajo. La clave es la constancia y la especialización.

• Soy principiante total, ¿por dónde empiezo?

  Empieza por los fundamentos web y las clases de vulnerabilidad, luego practica cada una en labs antes de tocar un programa real. Tenemos una guía dedicada de cómo aprender bug bounty desde cero enlazada arriba.

Sigue por aquí