VDPs sin recompensa: por qué importan

01Objetivo

Entender el papel estratégico de los Vulnerability Disclosure Programs (VDP) sin recompensa económica dentro de una carrera de bug bounty, más allá del dinero.

02Teoría

Qué ofrece un VDP que un programa pagado no ofrece

• Credencial verificable — cuando el hallazgo no es duplicado. Un agradecimiento público, un Hall of Fame, o un CVE asignado es algo que se puede enlazar desde un currículum o un perfil profesional y que un cliente o empleador puede verificar de forma independiente — algo que un pago privado por un programa comercial no siempre permite mostrar. Pero esto no es automático: un hallazgo técnicamente correcto puede seguir cerrándose como duplicado y no dar ninguna credencial (ver el caso real del módulo 7). El VDP paga en aprendizaje de metodología de forma garantizada; paga en credencial solo si llegas antes que otro hunter al mismo fallo.
• Objetivos de alto prestigio con menos saturación relativa. Programas gubernamentales o de infraestructura crítica suelen tener menos hunters activos que los grandes programas de ecommerce/fintech con recompensas publicitadas, simplemente porque "no paga" filtra a la mayoría. Para quien busca currículum y aprendizaje más que ingreso inmediato, eso es una ventaja, no una desventaja.
• Estándares de reporte más exigentes, que mejoran la habilidad real. Los VDPs gubernamentales y de agencias regulatorias suelen exigir pruebas de impacto más rigurosas que muchos programas comerciales (ver módulo 7, caso CVD). Reportar ahí de forma consistente entrena exactamente la disciplina que luego se traduce en mejores reportes — y más aceptados — en programas pagados.

Cómo se encajan los VDPs en una estrategia de cartera

Un hunter con cartera de objetivos no elige "o VDP o pagado": reparte tiempo entre ambos según el momento de su carrera:

• Fase de aprendizaje de metodología: más peso en VDPs. El coste de un reporte rechazado es solo tiempo, no una oportunidad de pago perdida, lo que reduce la presión y permite experimentar con más rigor.
• Fase de ingresos activos: más peso en programas pagados, pero sin abandonar VDPs — un VDP gubernamental con buena reputación puede abrir puertas (contratos de consultoría, invitaciones a programas privados) que ningún pago puntual de un programa comercial genera por sí solo.

El límite de exigencia de un VDP riguroso, bien entendido

Un VDP que exige impacto demostrado sobre confidencialidad, integridad o disponibilidad no es "más difícil porque es tacaño": es un filtro de calidad que, una vez internalizado, hace mejores a todos los reportes del hunter, también los que sí se cobran. Tratar esa exigencia como un obstáculo a evitar es perder la parte más valiosa del aprendizaje que ofrece.

03Síntesis de los tres casos del curso

Los tres VDPs/CVDs trabajados a lo largo del curso ilustran tres lecciones complementarias:

• NASA, recon (módulo 3): el recon pasivo debe identificar dónde concentra impacto real la organización, no solo dónde hay más superficie técnica — una API pública de datos abiertos, aunque grande, no es necesariamente el objetivo de mayor valor. Y descartar un vector grande con método, sin forzar un informe de él, es tan parte del trabajo como encontrar el que sí funciona.
• El regulador financiero (módulo 5): la priorización debe tener en cuenta la defensa perimetral real (WAF/CDN) del objetivo, no solo el tamaño de la superficie — insistir en un vector bien defendido tiene valor esperado bajo aunque "se vea grande".
• NASA, desenlace (módulo 7): dos IDOR reales y técnicamente impecables, cada uno demostrado con metodología rigurosa (incluida una cuenta cebo construida para probar impacto sin tocar datos ajenos), ambos cerrados como duplicado. Cero Letter of Recognition pese a acertar dos veces seguidas. Esta es la lección más incómoda y más honesta del curso: un VDP puede validar tu criterio técnico sin darte nada a cambio, y saber retirarse de un programa agotado — en vez de seguir insistiendo por orgullo — es tan parte de la estrategia como saber dónde mirar.

04Resumen operativo

1. Un VDP sin recompensa paga en currículum verificable y en disciplina de reporte, no en dinero directo.
2. Reparte el tiempo entre VDPs y programas pagados según la fase de tu carrera, no por dogma de uno u otro.
3. La exigencia de rigor de un VDP gubernamental es el estándar a imitar en todos tus reportes, no una excepción incómoda.