Los programas de bug bounty se están poniendo de moda entre las empresas.
Antes de que empezaran a ponerse de moda este tipo de programas las empresas de seguridad no tenían la manera de poder recibir de manera segura un fallo que afectaba a su plataforma. Muchas veces, además, no tenías ninguna dirección de contacto en la que poder reportar lo que hubieras encontrado.
Tabla de Contenido
Cuando optas por un bug bounty, además estás seguro de que la empresa no emprenderá ninguna acción legal contra el investigador.
Los programas de Bug Bounty tienen unas reglas específicas por lo que optar a ellos en algunos casos es algo complicado.
Las empresas que tienen Bug Bounty no solo se paga dinero, en alguna ocasión incluyen en un apartado de la web un Hall of Fame. Es una lista de los investigadores de seguridad que han podido vulnerar alguna característica de la web.
Como comentaba hay muchas empresas que se han apuntado al carro de las vulnerabilidades. Hay páginas webs que recopilan que empresas tienen activado el Bug Bounty.
Actualización 2026: este listado es de 2014 y el panorama del bug bounty cambió por completo
Importante para el lector de hoy: la lista de empresas que aparece abajo fue publicada en 2014 y tiene valor histórico. Muchas de esas compañías ya no operan su programa de la misma forma, algunas desaparecieron o se fusionaron (casos como Nitrous.IO o Nokia Siemens Networks) y las reglas, alcances y recompensas que tenían entonces ya no son válidos.
Lo que no cambió es la idea central del artículo: un programa de bug bounty bien definido ofrece al investigador un canal seguro para reportar fallos y la garantía de que la empresa no emprenderá acciones legales contra quien reporte de buena fe, siempre que se respeten las reglas del programa. Eso sigue siendo el corazón de la divulgación responsable.
La diferencia es que hoy los programas ya no viven dispersos en páginas aisladas de cada empresa. El ecosistema se centralizó en plataformas que publican directorios públicos de programas activos, como HackerOne, Bugcrowd, YesWeHack e Intigriti. Si buscas programas vigentes, esos directorios son el punto de partida, no la lista histórica de este artículo.
- Nature’s Organics
- Netagio
- Netflix
- Net Worth Pro
- Nitrous.IO
- Nokia
- Nokia Siemens Networks
- Norada
- NSN Nokia Solutions Network
- Nvidia
Estas son algunas de las empresas que ofrecen este tipo de programas.
Actualización 2026: cómo abordar hoy un programa de bug bounty sin quemarte
Antes de reportar una vulnerabilidad en cualquier programa, la práctica profesional exige tres pasos que no dependen del año:
- Leer el alcance (scope) completo: qué dominios, aplicaciones y tipos de vulnerabilidad están cubiertos, y qué está explícitamente fuera de alcance. Probar fuera del scope es la forma más rápida de invalidar un reporte.
- Respetar las reglas de juego: cada programa define qué técnicas están permitidas, cómo se reporta (canal, plantilla, idioma) y los tiempos de respuesta. Las reglas que mencionaba el artículo original en 2014 existen hoy con más detalle, no con menos.
- Documentar con evidencia reproducible: un buen reporte incluye pasos de reproducción, impacto real y capturas o registros. La diferencia entre un reporte pagado y uno ignorado suele estar en la calidad de la evidencia, no en la gravedad teórica del fallo.
Y una nota de realismo: el bug bounty es una disciplina exigente. Los programas maduros reciben miles de reportes y los fallos «fáciles» se agotan rápido; el valor está en la metodología, la constancia y la especialización. No es un atajo, es una profesión.
La lista la podemos filtrar por:
- Reward Offered
- Swag
- Hall of Fame
- New Bounties
Si queremos estar al día sólo debemos de inscribirnos en el boletín de Bug Crowd:
[+] https://bugcrowd.com/list-of-bug-bounty-programs/
¿Tu empresa recibe reportes de seguridad por canales informales o no tiene un proceso claro de divulgación responsable? En DragonJAR ayudamos a las organizaciones a evaluar su superficie de ataque con auditorías y pruebas de penetración profesionales, el paso previo y necesario antes de abrir cualquier programa de recompensas. Solicita una cotización aquí.
