Як підібрати VPS для баг-баунті у 2026 році: реальні ціни, інструменти й обмеження

У VPS для баг-баунті одне завдання — тримати ваш цикл розвідки в роботі. У 2026 році цей цикл зазвичай виглядає так: пасивний пошук піддоменів, HTTP-пробінг, краулінг, прогін Nuclei, а потім Burp на тих хостах, що виглядають цікаво. Сервер за $50 для цього не потрібен. Нижче — як підібрати розмір, що на нього поставити й куди насправді йдуть гроші.

Як насправді виглядають ціни

Діапазон «від $10 до $25» в одних провайдерів реальний, а в інших — фантастика.

У прайс-листі Hetzner за червень 2026 року CX33 із 4 спільними vCPU і 8 ГБ RAM коштує $9.99 на місяць у німецьких або фінських дата-центрах без урахування ПДВ. На щабель вище CX43 (8 vCPU, 16 ГБ) коштує $18.49, а молодший CX23 (2 vCPU, 4 ГБ) — $6.49. Усі три цифри взято з повідомлення Hetzner про зміну цін від 15 червня 2026 року. Contabo в тій самій категорії: його Cloud VPS 4 дає 4 vCPU і 8 ГБ приблизно за €5,50 на місяць за політики добросовісного використання трафіку — таку ціну VPSBenchmarks показував ще на початку вересня 2026 року.

Порівняйте з тією самою конфігурацією 4 vCPU і 8 ГБ в інших. DigitalOcean просить за неї $48, а звичайний тариф Cloud Compute у Vultr — $40. Через ці два цінники багато хто й думає, що хостинг для розвідки — це дорого. Так і є, якщо лишатися у великих американських брендів. І не так, якщо брати європейські тарифи зі спільними CPU, де Hetzner уже включає 20 ТБ вихідного трафіку.

Ціни змінюються, тож перед оплатою перевіряйте актуальну консоль. Крім того, Hetzner виставляє основну IPv4-адресу окремим рядком, що піднімає рахунок на кілька доларів вище ціни інстансу, а ПДВ залежить від того, де зареєстровано акаунт.

Навіщо він узагалі потрібен

Думайте про VPS для полювання як про комп’ютер, що працює, поки ваш ноутбук спить. Завдання розвідки можуть тривати годинами, і ваша домашня IP не повинна бути джерелом 40 000 запитів httpx. Сервер також дає чисте встановлення Linux, яке можна зламати, перезібрати й зробити знімок.

Він не замінює Burp на вашому робочому столі й не дає дозволу щось тестувати. Скануйте лише хости, які програма письмово вказала. Якщо політика забороняє автоматичні сканери на продакшені, запуск Nuclei із сервера за $10 однаково порушує цю політику.

Три розміри, три цінові категорії

Бюджетний, приблизно $5–10 на місяць. Два vCPU, 4 ГБ RAM, 40–50 ГБ SSD і близько 1 ТБ трафіку, якщо провайдер скупиться (європейські майданчики Hetzner дають набагато більше). Сюди пасує машина класу CX23. Її вистачає для Subfinder, DNSx, обережного проходу httpx і легкої роботи Nuclei за коротким списком хостів. Вона починає йти у своп, якщо Katana працює в headless-режимі, поки Nuclei тієї ж ночі ганяє широкий набір шаблонів.

Рекомендований, приблизно $10–25 на місяць. Чотири vCPU, 8 ГБ RAM і 80–120 ГБ SSD. Американські хмари з тарифікацією трафіку дають 2–4 ТБ, а майданчики Hetzner у Фалькенштайні, Нюрнберзі та Гельсінкі включають 20 ТБ. Якщо купуєте лише один сервер, беріть цей. Він тягне весь набір інструментів ProjectDiscovery без того, щоб OOM killer втручався щовечора.

Потужний, приблизно від $25 до $50 і більше. Вісім і більше vCPU, від 16 ГБ RAM і від 150 ГБ SSD. Він виправданий, коли скоуп — велика публічна програма, коли в кількох панелях tmux одночасно йдуть сканування портів або коли ви місяцями зберігаєте результати краулінгу на диску. CX43 від Hetzner коштує в ЄС менше $20, а Basic Droplet від DigitalOcean на 8 vCPU і 16 ГБ — $96, і це швидкий спосіб переплатити ще до того, як у вас з’явилася методика.

Більшості варто зупинитися на середньому розмірі. Масштабуйтеся, коли htop годинами горить червоним, а не тому, що хтось в інтернеті сказав «enterprise recon».

Набір інструментів на сервері

Ось звичайний стек, від базової системи до ручного тестування:

VPS
 ↓
Docker + tmux
 ↓
Subfinder + DNSx
 ↓
httpx + Naabu
 ↓
Katana + GAU
 ↓
ffuf + Nuclei
 ↓
Burp Suite on the hosts that survived

Кожен інструмент нижче веде на офіційний репозиторій або сторінку продукту. Ставте актуальні збірки й не вставляйте скрипт встановлення з 2022 року в надії, що його прапорці досі працюють.

• Контейнери й сесії. Docker ізолює залежності кожного інструмента, тож образ Nuclei зі свіжими шаблонами можна просто викинути, а не розплутувати наполовину оновлений Go path. tmux дає змогу завданню пережити обрив SSH-з’єднання, і від’єднання з повторним під’єднанням — перша звичка, яку варто опанувати.
• Пошук імен. Subfinder збирає піддомени з пасивних джерел, і кільком із них потрібні API-ключі. Налаштування описано в документації ProjectDiscovery щодо встановлення. Потім DNSx резолвить результати й відсікає wildcard-відповіді, що не пускає десятки тисяч мертвих імен у ваш сканер портів.
• Пробінг. httpx показує, які імена відповідають по HTTP, які коди статусу вони повертають і часто — який технологічний стек за ними стоїть. Naabu з тієї ж родини відповідає за сканування портів, але використовуйте його лише там, де правила дозволяють сканувати порти. Багато програм, обмежених вебом, це забороняють.
• Пошук шляхів. Katana обходить живі хости, і її headless-режим ненажерливий до пам’яті — тому на 4 ГБ тісно. GAU натомість збирає URL, які інтернет уже знає, з AlienVault OTX, Wayback Machine і Common Crawl. Це робота з архівами, а не живий краулінг, тож перевіряйте, що кожен шлях входить у скоуп сьогодні. ffuf фазить контент. Він швидкий навіть із налаштуваннями за замовчуванням, тож приберіть -t і використовуйте -rate, коли ціль крихка або правила вимагають тиші. Це коротко описано на вікі-сторінці про швидкість і продуктивність.
• Перевірка вразливостей. Nuclei виконує YAML-шаблони з репозиторію nuclei-templates. Спрямуйте повний набір шаблонів на величезний список хостів — і машина на 4 ГБ ляже, тож спершу звужуйте вибір за severity і читайте правила програми, перш ніж чіпати продакшен.
• Ручна робота. Burp Suite лишається етапом ручної роботи. Community Edition безплатна, а Professional — платна версія. Сервер може збирати URL і живі хости, але запит, який варто повторити, має бути в Burp на комп’ютері, за яким ви сидите.

На сторінці open source ProjectDiscovery показано такий самий конвеєр. Ось одна типова форма, і спрямовувати її можна лише на домен, який вам дозволено тестувати:

subfinder -d example.com -silent \
  | dnsx -silent \
  | httpx -silent \
  | nuclei -silent -severity high,critical

Вважайте цю однорядкову команду початковим фільтром, а не пентестом і не знахідкою. Усе, що виводить Nuclei, і далі має підтвердити людина, перевірити скоуп і написати звіт, за яким розробник зможе щось зробити.

Куди йдуть гроші

У Hetzner в ЄС після зміни цін 15 червня 2026 року вартість інстансів у USD без ПДВ така:

• CX23, 2 vCPU і 4 ГБ: $6.49 на місяць
• CX33, 4 vCPU і 8 ГБ: $9.99 на місяць
• CX43, 8 vCPU і 16 ГБ: $18.49 на місяць

Попереднє покоління CX22, CX32 і CX42 мало 40, 80 і 160 ГБ диска, і поточна лінійка зберігає цю схему. Трафік на європейських майданчиках — класу 20 ТБ, тож список покупок, що наполягає на «1 ТБ трафіку», ставить не те обмеження, якщо ви опинитеся у Фалькенштайні.

Поточна таблиця Basic Droplet у DigitalOcean:

• 2 vCPU і 4 ГБ: $24, з 80 ГіБ диска й 4 ТБ трафіку
• 4 vCPU і 8 ГБ: $48, зі 160 ГіБ диска й 5 ТБ трафіку
• 8 vCPU і 16 ГБ: $96, з 320 ГіБ диска й 6 ТБ трафіку

Звичайний Cloud Compute у Vultr коштує $20 за 2 vCPU і 4 ГБ та $40 за 4 vCPU і 8 ГБ.

Тож рекомендація «$10–25» означає залізо класу Hetzner або Contabo, а не будь-яку хмарну ВМ на чотири ядра. Якщо у вас акаунт лише в DigitalOcean, та сама конфігурація перетворюється на звичку за $48. Кредити студентських пакетів і пробні баланси провайдерів з’являються й зникають, тож вважайте їх короткою злітною смугою, а не постійною лабораторією за $5.

Куди йдуть диск і пам’ять

Вивід Subfinder крихітний, і JSON від httpx для кількох тисяч хостів теж лишається невеликим. Справжня проблема зі зберіганням — Katana і GAU: архівні URL за рік для популярної цілі — це величезна купа рядків. Слідом іде Nuclei з -jsonl за широким набором шаблонів. 80 ГБ комфортно одному мисливцеві, що працює з кількома програмами. 40 ГБ заповнюються, щойно ви починаєте зберігати сирі результати краулінгу «про всяк випадок».

Тиск на пам’ять створюють headless Katana, інструменти скриншотів на Chromium і паралелізм Nuclei, зібрані на одній машині. Машина на 4 ГБ дає раду, коли етапи йдуть один за одним. Перший розмір, за якого httpx і краулінг можуть ділити дві панелі tmux без перевірки free -h щодесять хвилин, — 8 ГБ.

Тиск на CPU створюють Naabu і ffuf. Тарифи зі спільними vCPU, як-от Hetzner CX, Contabo Cloud VPS і DigitalOcean Basic, працюють ривками. Для розвідки це нормально, але погано пасує, якщо ви чекаєте лінійного пришвидшення від «8 vCPU» за галасливого сусіда.

Практичні нотатки щодо налаштування

Це не повний посібник зі встановлення, але кілька звичок важливі:

• Починайте з Ubuntu LTS або Debian. Створіть користувача без root, дозвольте лише SSH-ключі й запустіть fail2ban чи щось подібне на порту 22 або перенесіть SSH на інший порт. VPS, що став чужим сканером, — проблема серйозніша за повільний прогін Nuclei.
• Встановіть Go, а потім завантажте інструменти ProjectDiscovery командами з їхньої актуальної документації. PDTM — варіант, якщо вам подобається один інсталятор для всього. Пропускайте будь-які старі gist'и «bug bounty VPS script» з 2023 року.
• Тримайте словники й вивід в окремій директорії, яку можна скопіювати із сервера через rsync. Знімок дешевший, ніж перезбирання після невдалого rm.
• Використовуйте Burp Collaborator або будь-який приймач зворотних викликів, лише якщо програма дозволяє out-of-band тестування. Деякі політики зараховують несподівані зворотні виклики проти тестувальника.

Коли витрачати більше

Переходьте на вищий тариф, коли один дозволений скоуп потребує паралельного краулінгу, коли своп використовується щоночі або коли диск заповнено на 80 відсотків, бо ви зберігали кожен JSONL-файл. Не оновлюйтеся через те, що на обкладинці курсу була стійка на 32 ГБ.

Іноді дві маленькі машини кращі за одну велику. Використовуйте один хост для галасливих сканувань, а інший тримайте чистим для ручної роботи й звітів. Два інстанси CX23 однаково можуть коштувати менше за один дроплет DigitalOcean на 8 ГБ.

Частина, що не про інфраструктуру

VPS за $10 не знаходить IDOR. Їх знаходять письмово зафіксований скоуп, звичка вести нотатки й години, проведені в застосунку. Nuclei і далі видаватиме CVE, які програма вже закрила як informative, а ffuf — знаходитиме той самий 403. Сервер прибирає лише одну відмовку — батарею ноутбука, що сіла посеред списку піддоменів.

Перший місяць витратьте на методику, словники й читання політик. Орендуйте середній тариф зараз і підвищуйте його, лише коли навантаження змусить.

На якому тарифі ви зараз і що з’їло його першим? Можливо, Nuclei з надміром одночасних запитів, Katana в headless-режимі або диск, забитий файлами краулінгу, які ніхто не відкривав.