Cómo dimensionar un VPS para bug bounty en 2026: precios reales, herramientas y límites

Un VPS para bug bounty tiene un solo trabajo: mantener en marcha tu bucle de recon. En 2026 ese bucle suele ser así: búsqueda pasiva de subdominios, probing HTTP, un crawl, una pasada de Nuclei y luego Burp en los hosts que parezcan interesantes. No necesitas un servidor de 50 dólares para ejecutarlo. Aquí tienes cómo dimensionarlo, qué poner en él y a dónde va realmente el dinero.

Cómo son los precios de verdad

El rango de «10 a 25 dólares» es real con algunos proveedores y ficción con otros.

La lista de precios de Hetzner de junio de 2026 sitúa el CX33, con 4 vCPU compartidas y 8 GB de RAM, en 9,99 dólares al mes para centros de datos alemanes o finlandeses, sin IVA. Un paso por encima, el CX43 (8 vCPU, 16 GB) cuesta 18,49 dólares, y el más pequeño CX23 (2 vCPU, 4 GB) cuesta 6,49 dólares. Las tres cifras proceden del aviso de ajuste de precios de Hetzner con fecha del 15 de junio de 2026. Contabo está en la misma liga. Su Cloud VPS 4 ofrece 4 vCPU y 8 GB por alrededor de 5,50 euros al mes bajo una política de uso razonable del tráfico, un precio que VPSBenchmarks seguía mostrando a principios de septiembre de 2026.

Compáralo con la misma configuración de 4 vCPU y 8 GB en otros sitios. DigitalOcean pide 48 dólares por ella, y el plan Cloud Compute normal de Vultr pide 40 dólares. Esos dos precios de catálogo son la razón por la que muchos suponen que el hosting para recon es caro. Lo es, si te quedas con las grandes marcas estadounidenses. No lo es, si eliges planes europeos de CPU compartida, donde Hetzner ya incluye 20 TB de tráfico de salida.

Los precios cambian, así que revisa la consola en vivo antes de pagar. Hetzner además factura la dirección IPv4 principal como una línea aparte, lo que eleva la factura unos dólares por encima del precio de la instancia, y el IVA depende de dónde esté registrada tu cuenta.

Por qué querrías uno siquiera

Piensa en un VPS de hunting como un ordenador que sigue trabajando mientras tu portátil duerme. Los trabajos de recon pueden durar horas, y tu IP de casa no debería ser el origen de 40.000 probes de httpx. El servidor también te da una instalación limpia de Linux que puedes destrozar, reconstruir y guardar como snapshot.

No sustituye a Burp en tu propio escritorio, y no concede permiso para probar nada. Escanea solo los hosts que el programa haya nombrado por escrito. Si la política prohíbe los escáneres automáticos en producción, ejecutar Nuclei desde un servidor de 10 dólares sigue incumpliendo esa política.

Tres tamaños, tres franjas de precio

Económico, unos 5 a 10 dólares al mes. Dos vCPU, 4 GB de RAM, 40 a 50 GB de SSD y alrededor de 1 TB de tráfico si el proveedor es tacaño (las ubicaciones europeas de Hetzner dan mucho más). Aquí encaja una máquina de clase CX23. Basta para Subfinder, DNSx, una pasada educada de httpx y trabajo ligero de Nuclei contra una lista corta de hosts. Empieza a hacer swap si Katana corre en headless mientras Nuclei dispara un conjunto amplio de templates esa misma noche.

Recomendado, unos 10 a 25 dólares al mes. Cuatro vCPU, 8 GB de RAM y 80 a 120 GB de SSD. Las nubes estadounidenses con tráfico medido dan 2 a 4 TB, mientras que las sedes de Hetzner en Falkenstein, Núremberg y Helsinki incluyen 20 TB. Si solo vas a comprar una máquina, es esta. Ejecuta toda la toolchain de ProjectDiscovery sin que el OOM killer intervenga cada tarde.

Pesado, unos 25 a 50 dólares y más. Ocho o más vCPU, 16 GB de RAM o más y 150 GB de SSD o más. Tiene sentido cuando el alcance es un programa público grande, cuando varios paneles de tmux corren escaneos de puertos a la vez o cuando guardas meses de salida de crawl en disco. El CX43 de Hetzner queda por debajo de 20 dólares en la UE, mientras que el Basic Droplet de DigitalOcean con 8 vCPU y 16 GB cuesta 96 dólares, que es una forma rápida de gastar de más antes incluso de tener un método.

La mayoría debería quedarse en el tamaño medio. Escala cuando htop siga en rojo durante horas, no porque alguien en internet dijera «recon de empresa».

La toolchain en la máquina

Este es el stack habitual, del sistema base a las pruebas manuales:

VPS
 ↓
Docker + tmux
 ↓
Subfinder + DNSx
 ↓
httpx + Naabu
 ↓
Katana + GAU
 ↓
ffuf + Nuclei
 ↓
Burp Suite on the hosts that survived

Cada herramienta de abajo enlaza a su repo oficial o a su página de producto. Instala builds actuales y no pegues un script de instalación de 2022 esperando que sus flags sigan funcionando.

• Contenedores y sesiones. Docker aísla las dependencias de cada herramienta, así que puedes tirar una imagen de Nuclei con templates nuevos en lugar de desenredar un Go path a medio actualizar. tmux permite que un trabajo sobreviva a una conexión SSH caída, y desconectar y reconectar es el primer hábito que vale la pena aprender.
• Encontrar nombres. Subfinder extrae subdominios de fuentes pasivas, y varias de ellas necesitan claves de API. Consulta la documentación de instalación de ProjectDiscovery para configurarlas. Luego DNSx resuelve los resultados y elimina las respuestas wildcard, lo que mantiene decenas de miles de nombres muertos lejos de tu escáner de puertos.
• Probing. httpx muestra qué nombres responden por HTTP, qué códigos de estado dan y a menudo el stack tecnológico que hay detrás. Naabu, de la misma familia, se encarga del escaneo de puertos, pero úsalo solo donde las reglas permitan escanear puertos. Muchos programas solo de web lo prohíben.
• Descubrir rutas. Katana rastrea hosts vivos, y su modo headless consume mucha memoria, lo que explica por qué 4 GB se quedan cortos. GAU, en cambio, reúne URLs que internet ya conoce, de AlienVault OTX, Wayback Machine y Common Crawl. Es investigación de archivos y no un crawl en vivo, así que verifica que cada ruta esté hoy en el alcance. ffuf hace fuzzing de contenido. Es rápido incluso por defecto, así que quita -t y usa -rate cuando el objetivo sea delicado o las reglas pidan discreción. La página wiki sobre rate y rendimiento lo cubre brevemente.
• Comprobaciones de vulnerabilidades. Nuclei ejecuta templates YAML del repositorio nuclei-templates. Apunta el conjunto completo de templates a una lista enorme de hosts y una máquina de 4 GB se viene abajo, así que acota primero por severity y lee las reglas del programa antes de tocar producción.
• Trabajo manual. Burp Suite sigue siendo el paso manual. La Community Edition no cuesta nada, mientras que Professional es la versión de pago. El servidor puede reunir URLs y hosts vivos, pero una petición que merece repetirse va en Burp en un ordenador en el que estés sentado.

La página open source de ProjectDiscovery muestra el mismo tipo de pipe. Sigue una forma típica, y solo debe apuntarse a un dominio que estés autorizado a probar:

subfinder -d example.com -silent \
  | dnsx -silent \
  | httpx -silent \
  | nuclei -silent -severity high,critical

Trata ese one-liner como un filtro inicial, no como un pentest ni como un hallazgo. Lo que imprima Nuclei todavía necesita que una persona lo confirme, compruebe el alcance y escriba un informe sobre el que un desarrollador pueda actuar.

A dónde va el dinero

En Hetzner, en la UE, tras el ajuste del 15 de junio de 2026, los precios de instancia en dólares antes de IVA son:

• CX23, 2 vCPU y 4 GB: 6,49 dólares al mes
• CX33, 4 vCPU y 8 GB: 9,99 dólares al mes
• CX43, 8 vCPU y 16 GB: 18,49 dólares al mes

La generación anterior de CX22, CX32 y CX42 tenía 40, 80 y 160 GB de disco, y la línea actual mantiene esa distribución. El tráfico en las ubicaciones de la UE es de la clase de 20 TB, así que una lista de la compra que insiste en «1 TB de ancho de banda» plantea la restricción equivocada si acabas en Falkenstein.

La tabla actual de Basic Droplet de DigitalOcean dice:

• 2 vCPU y 4 GB: 24 dólares, con 80 GiB de disco y 4 TB de tráfico
• 4 vCPU y 8 GB: 48 dólares, con 160 GiB de disco y 5 TB de tráfico
• 8 vCPU y 16 GB: 96 dólares, con 320 GiB de disco y 6 TB de tráfico

El Cloud Compute normal de Vultr pide 20 dólares por 2 vCPU y 4 GB, y 40 dólares por 4 vCPU y 8 GB.

Así que la recomendación de «10 a 25 dólares» significa hardware de clase Hetzner o Contabo, no una VM en la nube cualquiera de cuatro núcleos. Si DigitalOcean es tu única cuenta, la misma configuración se convierte en un hábito de 48 dólares. Los créditos de los packs de estudiante y los saldos de prueba de los proveedores van y vienen, así que trátalos como una pista de despegue corta y no como un laboratorio permanente de 5 dólares.

A dónde van el disco y la memoria

La salida de Subfinder es diminuta, y el JSON de httpx para unos pocos miles de hosts se mantiene pequeño. Katana y GAU son el verdadero problema de almacenamiento, ya que un año de URLs archivadas para un objetivo con mucho tráfico es un montón enorme de líneas. Nuclei con -jsonl sobre un conjunto amplio de templates va después. 80 GB son cómodos para un hunter que trabaja un puñado de programas. 40 GB se llenan en cuanto empiezas a guardar crawls en bruto «por si acaso».

La presión de memoria viene de Katana en headless, las herramientas de capturas basadas en Chromium y la concurrencia de Nuclei, todo apilado en una sola máquina. Una máquina de 4 GB se las apaña cuando las etapas van una tras otra. El primer tamaño que permite que httpx y un crawl compartan dos paneles de tmux, sin un free -h cada diez minutos, son 8 GB.

La presión de CPU viene de Naabu y ffuf. Los planes de vCPU compartida, como Hetzner CX, Contabo Cloud VPS y DigitalOcean Basic, van a ráfagas. Para recon está bien, pero encaja mal si esperas una aceleración lineal de «8 vCPU» con un vecino ruidoso.

Notas prácticas de configuración

Esto no es una guía de instalación completa, pero unos pocos hábitos importan:

• Empieza con Ubuntu LTS o Debian. Crea un usuario no root, permite solo claves SSH y ejecuta fail2ban o algo parecido en el puerto 22, o mueve SSH a otro puerto. Un VPS que se convierte en el escáner de otro es un problema mayor que una pasada lenta de Nuclei.
• Instala Go y luego descarga las herramientas de ProjectDiscovery con los comandos de su documentación actual. PDTM es una opción si te atrae un único instalador para todo. Sáltate cualquier gist viejo de «script de VPS para bug bounty» de 2023.
• Guarda las wordlists y la salida en un directorio aparte que puedas pasar fuera de la máquina con rsync. Un snapshot es más barato que reconstruir tras un rm malo.
• Usa Burp Collaborator o cualquier listener de callbacks solo si el programa permite pruebas out-of-band. Algunas políticas cuentan en contra del tester los callbacks sorpresa.

Cuándo gastar más

Amplía cuando un único alcance autorizado pida crawls en paralelo, cuando se use swap cada noche o cuando el disco llegue al 80 por ciento porque guardaste cada archivo JSONL. No amplíes porque la miniatura de un curso mostrara un rack de 32 GB.

A veces dos máquinas pequeñas ganan a una grande. Usa un host para los escaneos ruidosos y mantén otro limpio para el trabajo manual y los informes. Dos instancias CX23 aún pueden costar menos que un solo droplet de 8 GB de DigitalOcean.

La parte que no es infraestructura

Un VPS de 10 dólares no encuentra IDORs. Los encuentran un alcance por escrito, el hábito de tomar notas y las horas dedicadas a la aplicación. Nuclei seguirá imprimiendo CVEs que el programa ya cerró como informativos, y ffuf seguirá sacando el mismo 403. Lo único que te quita el servidor es una excusa: la batería del portátil muriéndose a mitad de la lista de subdominios.

Dedica el primer mes a la metodología, las wordlists y la lectura de políticas. Alquila ahora el plan intermedio y sube solo cuando la carga te obligue.

¿En qué plan estás hoy y qué se lo comió primero? Quizá fue Nuclei lanzando demasiadas peticiones a la vez, Katana en modo headless o un disco lleno de archivos de crawl que nadie abrió.