BBLabs vs HackerOne: ¿dónde entrenar antes de cazar bugs reales?

Plataforma vs campo de prácticas: la diferencia que lo explica todo

HackerOne es un marketplace: conecta a empresas que quieren encontrar bugs con hunters que los encuentran. Tú no aprendes ahí — cazas ahí. Reportas una vulnerabilidad real, un equipo de triaje la valida y, si es válida y está en scope, cobras un bounty. Es el destino, no el punto de partida.

BBLabs es lo anterior: un campo de prácticas donde cada lab replica un reporte real ya publicado, para que entrenes la técnica sin riesgo y sin depender de que un programa real tenga un bug encontrable justo cuando tú miras. Entrenas hasta reconocer los patrones; luego los buscas en HackerOne.

Por qué no deberías "practicar" directamente en HackerOne

Es tentador pensar que la mejor forma de aprender es lanzarse a targets reales. En la práctica, para el novato es un muro. Los programas tienen reglas de scope estrictas: tocar algo prohibido, escanear demasiado agresivamente o salirte del alcance puede acabar en un ban o, peor, en un problema legal. Y aunque juegues limpio, tus primeros reportes serán casi todos duplicados, N/A o informativos: cero recompensa, semanas de espera y ningún feedback que te enseñe qué hiciste mal.

BBLabs elimina esos dos problemas de golpe: el entorno es controlado (no rompes nada de nadie) y el feedback es inmediato (flag correcta al instante, writeup para entender el porqué). Aprendes rápido y sin arriesgar tu reputación antes de tenerla.

El itinerario: de la Academy a tu primer bounty

Un camino realista para llegar a HackerOne con criterio: primero la Academy gratuita para entender cada familia de vulnerabilidad (IDOR, XSS, SSRF, inyecciones, lógica de negocio). Después el roadmap, que te ordena de Easy a Insane sin que tengas que decidir por dónde seguir.

En paralelo, los labs: cada uno es un reporte real de HackerOne convertido en práctica. Cuando reconoces el mismo patrón en tres labs distintos, lo reconocerás en un target vivo. Ese es el momento de abrir tu cuenta en HackerOne, empezar por programas de scope amplio o VDP, y cazar de verdad.

Idioma y formación: lo que HackerOne no te da

HackerOne funciona en inglés y no incluye formación: es una plataforma de programas, no una escuela. Tiene recursos como Hacktivity (reportes públicos) y algún contenido introductorio, pero no te lleva de la mano ni está pensado como currículo. BBLabs cubre justo ese hueco en español: teoría en la Academy, práctica en los labs, orden en el roadmap y explicación en los writeups. No compite con HackerOne — completa lo que a HackerOne, por diseño, no le toca hacer.

Para quién es cada uno

Veredicto: no elijas — usa los dos en orden

Preguntar "BBLabs o HackerOne" es como preguntar "gimnasio o competición": no se elige, se secuencia. HackerOne es donde vas a cobrar tus bounties, y no tiene alternativa para eso. BBLabs es donde te haces bueno primero, en español, sin riesgo y con un camino claro, para que cuando llegues a HackerOne no quemes meses en reportes rechazados. Entrena en BBLabs desde 7,99€/mes, y cuando reconozcas los bugs solo, ve a HackerOne a por el dinero.