Как подобрать VPS для баг-баунти в 2026 году: реальные цены, инструменты и ограничения

У VPS для баг-баунти одна задача — держать ваш цикл разведки в работе. В 2026 году этот цикл обычно выглядит так: пассивный поиск поддоменов, HTTP-пробинг, краулинг, прогон Nuclei, а затем Burp на тех хостах, что выглядят интересно. Сервер за $50 для этого не нужен. Ниже — как подобрать размер, что на него поставить и куда на самом деле уходят деньги.

Как на самом деле выглядят цены

Диапазон «от $10 до $25» у одних провайдеров реален, а у других — фантастика.

В прайс-листе Hetzner за июнь 2026 года CX33 с 4 общими vCPU и 8 ГБ RAM стоит $9.99 в месяц в немецких или финских дата-центрах без учёта НДС. На ступень выше CX43 (8 vCPU, 16 ГБ) стоит $18.49, а младший CX23 (2 vCPU, 4 ГБ) — $6.49. Все три цифры взяты из уведомления Hetzner об изменении цен от 15 июня 2026 года. Contabo в той же категории: его Cloud VPS 4 даёт 4 vCPU и 8 ГБ примерно за €5,50 в месяц при политике добросовестного использования трафика — такую цену VPSBenchmarks показывал ещё в начале сентября 2026 года.

Сравните с той же конфигурацией 4 vCPU и 8 ГБ у других. DigitalOcean просит за неё $48, а обычный тариф Cloud Compute у Vultr — $40. Из-за этих двух ценников многие и думают, что хостинг для разведки — это дорого. Так и есть, если оставаться у крупных американских брендов. И не так, если брать европейские тарифы с общими CPU, где Hetzner уже включает 20 ТБ исходящего трафика.

Цены меняются, поэтому перед оплатой проверяйте актуальную консоль. Кроме того, Hetzner выставляет основной IPv4-адрес отдельной строкой, что поднимает счёт на несколько долларов выше цены инстанса, а НДС зависит от того, где зарегистрирован аккаунт.

Зачем он вообще нужен

Думайте о VPS для охоты как о компьютере, который работает, пока ваш ноутбук спит. Задачи разведки могут идти часами, и ваш домашний IP не должен быть источником 40 000 запросов httpx. Сервер также даёт чистую установку Linux, которую можно сломать, пересобрать и снять снапшот.

Он не заменяет Burp на вашем рабочем столе и не даёт разрешения что-либо тестировать. Сканируйте только хосты, которые программа письменно указала. Если политика запрещает автоматические сканеры на продакшене, запуск Nuclei с сервера за $10 всё равно нарушает эту политику.

Три размера, три ценовые категории

Бюджетный, примерно $5–10 в месяц. Два vCPU, 4 ГБ RAM, 40–50 ГБ SSD и около 1 ТБ трафика, если провайдер скупится (европейские площадки Hetzner дают гораздо больше). Сюда подходит машина класса CX23. Её хватает для Subfinder, DNSx, аккуратного прохода httpx и лёгкой работы Nuclei по короткому списку хостов. Она начинает уходить в своп, если Katana работает в headless-режиме, пока Nuclei в ту же ночь гоняет широкий набор шаблонов.

Рекомендуемый, примерно $10–25 в месяц. Четыре vCPU, 8 ГБ RAM и 80–120 ГБ SSD. Американские облака с тарификацией трафика дают 2–4 ТБ, а площадки Hetzner в Фалькенштайне, Нюрнберге и Хельсинки включают 20 ТБ. Если покупаете только один сервер, берите этот. Он тянет весь набор инструментов ProjectDiscovery без того, чтобы OOM killer вмешивался каждый вечер.

Мощный, примерно от $25 до $50 и выше. Восемь и более vCPU, от 16 ГБ RAM и от 150 ГБ SSD. Он оправдан, когда скоуп — большая публичная программа, когда в нескольких панелях tmux одновременно идут сканирования портов или когда вы месяцами храните результаты краулинга на диске. CX43 от Hetzner стоит в ЕС меньше $20, а Basic Droplet от DigitalOcean на 8 vCPU и 16 ГБ — $96, и это быстрый способ переплатить ещё до того, как у вас появилась методика.

Большинству стоит остановиться на среднем размере. Масштабируйтесь, когда htop часами горит красным, а не потому, что кто-то в интернете сказал «enterprise recon».

Набор инструментов на сервере

Вот обычный стек, от базовой системы до ручного тестирования:

VPS
 ↓
Docker + tmux
 ↓
Subfinder + DNSx
 ↓
httpx + Naabu
 ↓
Katana + GAU
 ↓
ffuf + Nuclei
 ↓
Burp Suite on the hosts that survived

Каждый инструмент ниже ведёт на официальный репозиторий или страницу продукта. Ставьте актуальные сборки и не вставляйте скрипт установки из 2022 года в надежде, что его флаги всё ещё работают.

• Контейнеры и сессии. Docker изолирует зависимости каждого инструмента, так что образ Nuclei со свежими шаблонами можно просто выбросить, а не распутывать наполовину обновлённый Go path. tmux позволяет задаче пережить обрыв SSH-соединения, и отключение с повторным подключением — первая привычка, которую стоит освоить.
• Поиск имён. Subfinder собирает поддомены из пассивных источников, и нескольким из них нужны API-ключи. Настройка описана в документации ProjectDiscovery по установке. Затем DNSx резолвит результаты и отсекает wildcard-ответы, что не пускает десятки тысяч мёртвых имён в ваш сканер портов.
• Пробинг. httpx показывает, какие имена отвечают по HTTP, какие коды статуса они возвращают, и часто — какой технологический стек за ними стоит. Naabu из того же семейства отвечает за сканирование портов, но используйте его только там, где правила разрешают сканировать порты. Многие программы, ограниченные вебом, это запрещают.
• Поиск путей. Katana обходит живые хосты, и её headless-режим прожорлив к памяти — поэтому на 4 ГБ тесно. GAU же собирает URL, которые интернет уже знает, из AlienVault OTX, Wayback Machine и Common Crawl. Это работа с архивами, а не живой краулинг, поэтому проверяйте, что каждый путь входит в скоуп сегодня. ffuf фаззит контент. Он быстр даже с настройками по умолчанию, поэтому уберите -t и используйте -rate, когда цель хрупкая или правила требуют тишины. Это кратко описано на вики-странице о скорости и производительности.
• Проверка уязвимостей. Nuclei выполняет YAML-шаблоны из репозитория nuclei-templates. Направьте полный набор шаблонов на огромный список хостов — и машина на 4 ГБ ляжет, поэтому сначала сужайте выбор по severity и читайте правила программы, прежде чем трогать продакшен.
• Ручная работа. Burp Suite остаётся этапом ручной работы. Community Edition бесплатна, а Professional — платная версия. Сервер может собирать URL и живые хосты, но запрос, который стоит повторить, место в Burp на компьютере, за которым вы сидите.

На странице open source ProjectDiscovery показан такой же конвейер. Вот одна типичная форма, и направлять её можно только на домен, который вам разрешено тестировать:

subfinder -d example.com -silent \
  | dnsx -silent \
  | httpx -silent \
  | nuclei -silent -severity high,critical

Считайте эту однострочную команду начальным фильтром, а не пентестом и не находкой. Всё, что выводит Nuclei, по-прежнему должен подтвердить человек, проверить скоуп и написать отчёт, по которому разработчик сможет что-то сделать.

Куда уходят деньги

У Hetzner в ЕС после изменения цен 15 июня 2026 года стоимость инстансов в USD без НДС такова:

• CX23, 2 vCPU и 4 ГБ: $6.49 в месяц
• CX33, 4 vCPU и 8 ГБ: $9.99 в месяц
• CX43, 8 vCPU и 16 ГБ: $18.49 в месяц

Прошлое поколение CX22, CX32 и CX42 имело 40, 80 и 160 ГБ диска, и текущая линейка сохраняет эту схему. Трафик на европейских площадках — класса 20 ТБ, так что список покупок, настаивающий на «1 ТБ трафика», ставит не то ограничение, если вы окажетесь в Фалькенштайне.

Текущая таблица Basic Droplet у DigitalOcean:

• 2 vCPU и 4 ГБ: $24, с 80 ГиБ диска и 4 ТБ трафика
• 4 vCPU и 8 ГБ: $48, со 160 ГиБ диска и 5 ТБ трафика
• 8 vCPU и 16 ГБ: $96, с 320 ГиБ диска и 6 ТБ трафика

Обычный Cloud Compute у Vultr стоит $20 за 2 vCPU и 4 ГБ и $40 за 4 vCPU и 8 ГБ.

Так что рекомендация «$10–25» означает железо класса Hetzner или Contabo, а не любую облачную ВМ на четыре ядра. Если у вас аккаунт только в DigitalOcean, та же конфигурация превращается в привычку за $48. Кредиты студенческих пакетов и пробные балансы провайдеров появляются и исчезают, так что считайте их короткой взлётной полосой, а не постоянной лабораторией за $5.

Куда уходят диск и память

Вывод Subfinder крошечный, и JSON от httpx для нескольких тысяч хостов тоже остаётся небольшим. Настоящая проблема с хранением — Katana и GAU: архивные URL за год для популярной цели — это огромная куча строк. Следом идёт Nuclei с -jsonl по широкому набору шаблонов. 80 ГБ комфортно одному охотнику, работающему с горсткой программ. 40 ГБ заполняются, как только вы начинаете хранить сырые результаты краулинга «на всякий случай».

Давление на память создают headless Katana, инструменты скриншотов на Chromium и параллелизм Nuclei, собранные на одной машине. Машина на 4 ГБ справляется, когда этапы идут друг за другом. Первый размер, при котором httpx и краулинг могут делить две панели tmux без проверки free -h каждые десять минут, — 8 ГБ.

Давление на CPU создают Naabu и ffuf. Тарифы с общими vCPU, такие как Hetzner CX, Contabo Cloud VPS и DigitalOcean Basic, работают рывками. Для разведки это нормально, но плохо подходит, если вы ждёте линейного ускорения от «8 vCPU» при шумном соседе.

Практические заметки по настройке

Это не полное руководство по установке, но несколько привычек важны:

• Начинайте с Ubuntu LTS или Debian. Создайте пользователя без root, разрешите только SSH-ключи и запустите fail2ban или что-то подобное на порту 22 либо перенесите SSH на другой порт. VPS, ставший чужим сканером, — проблема посерьёзнее медленного прогона Nuclei.
• Установите Go, а затем загрузите инструменты ProjectDiscovery командами из их актуальной документации. PDTM — вариант, если вам нравится один установщик для всего. Пропускайте любые старые gist'ы «bug bounty VPS script» из 2023 года.
• Держите словари и вывод в отдельной директории, которую можно скопировать с сервера через rsync. Снапшот дешевле, чем пересборка после неудачного rm.
• Используйте Burp Collaborator или любой приёмник обратных вызовов, только если программа разрешает out-of-band тестирование. Некоторые политики засчитывают неожиданные обратные вызовы против тестировщика.

Когда тратить больше

Переходите на тариф выше, когда один разрешённый скоуп требует параллельного краулинга, когда своп используется каждую ночь или когда диск заполнен на 80 процентов, потому что вы сохраняли каждый JSONL-файл. Не апгрейдитесь из-за того, что на обложке курса была стойка на 32 ГБ.

Иногда две маленькие машины лучше одной большой. Используйте один хост для шумных сканирований, а другой держите чистым для ручной работы и отчётов. Два инстанса CX23 всё равно могут стоить меньше одного дроплета DigitalOcean на 8 ГБ.

Часть, которая не про инфраструктуру

VPS за $10 не находит IDOR. Их находят письменно зафиксированный скоуп, привычка вести заметки и часы, проведённые в приложении. Nuclei будет и дальше выдавать CVE, которые программа уже закрыла как informative, а ffuf — находить всё тот же 403. Сервер убирает лишь одну отговорку — батарею ноутбука, севшую на середине списка поддоменов.

Первый месяц потратьте на методику, словари и чтение политик. Арендуйте средний тариф сейчас и повышайте его, только когда нагрузка вынудит.

На каком тарифе вы сейчас и что съело его первым? Может, Nuclei с избытком одновременных запросов, Katana в headless-режиме или диск, забитый файлами краулинга, которые никто не открывал.