Definición
Un bug bounty es un acuerdo público o privado en el que una empresa invita a investigadores de seguridad a buscar fallas en activos concretos (sitios web, APIs, apps móviles, hardware) a cambio de una recompensa. Cada programa define un alcance (qué se puede probar y qué no), reglas de conducta y una tabla de pagos según la severidad del hallazgo. Hay programas públicos, abiertos a cualquiera, y privados, solo por invitación, y suelen gestionarse en plataformas especializadas o directamente por la organización. Se diferencia de una VDP (Vulnerability Disclosure Policy), que acepta reportes pero no necesariamente paga.
Ejemplo
Un investigador revisa una tienda online incluida en el alcance de un programa y descubre que puede ver pedidos ajenos cambiando el ID en la URL (un IDOR). Redacta un reporte con los pasos para reproducirlo, el impacto y una prueba de concepto sin extraer datos reales, y la empresa le paga según la severidad asignada.
Cómo protegerse
Buenas prácticas para empezar:
- Leé completo el alcance y las reglas del programa antes de tocar nada; probar fuera del alcance puede ser ilegal.
- Formate primero con laboratorios y CTF (por ejemplo, vulnerabilidades del OWASP Top 10) antes de ir a programas reales.
- Escribí reportes claros: resumen, pasos de reproducción, impacto y sugerencia de mitigación.
- No accedas, modifiques ni descargues datos de usuarios reales más allá de lo mínimo para demostrar la falla.
- Respetá la confidencialidad: no publiques el hallazgo sin permiso de la organización.
Para tener en cuenta
Participar en un bug bounty no da permiso para atacar cualquier sistema de la empresa: solo cubre lo que el programa autoriza explícitamente. Un error común de principiantes es reportar hallazgos sin impacto real o duplicados, que normalmente no se pagan.
Redactado con el asistente Underc0de IA. Actualizado el 10/11/2026. ¿Ves un error o querés sumar algo? Contanos en el foro.