Caza de bounties en GitHub: cómo funciona
Las búsquedas de «bounty hunter GitHub» mezclan dos cosas distintas: cazar fallos de seguridad para empresas y cazar issues financiados en repositorios open source. Esta guía trata la segunda.
Bounties de issues frente a bug bounty
Cazar bounties de issues es resolver un issue financiado de GitHub (una función, un arreglo, una refactorización) y cobrar cuando se fusiona el pull request. El bug bounty consiste en reportar vulnerabilidades a un programa de una empresa. Lo primero exige programar en un repositorio concreto; lo segundo, habilidades de seguridad.
Un flujo que funciona
1) Busca issues financiados en varias plataformas. 2) Descarta honeypots, repos archivados e issues que ya tienen un pull request competidor. 3) Prefiere issues recientes en un stack que conozcas. 4) Lee la guía de contribución y el hilo del issue. 5) Reclama como exija la plataforma. 6) Envía un pull request pequeño y probado que referencie el issue. 7) Guarda el enlace del PR fusionado para el cobro.
Por qué la mayoría no compensa
De 290 bounties abiertas y verificadas el 20-09-2026, 207 eran de menos de 50 $ y 238 ya tenían al menos un pull request competidor. La velocidad importa: las mejores son las publicadas en el último día o dos, por eso BountyOS tiene modo sniper y se actualiza cada hora. Mira lo abierto en el tablero en vivo.
Riesgos a tener en cuenta
Algunos listados son spam o importes inflados, algunos financiadores nunca aprueban y las condiciones de pago cambian según la plataforma. Trabaja solo cuando el pago esté confirmado y el issue esté realmente abierto.
FAQ
¿Qué es cazar bounties en GitHub? Encontrar issues financiados, resolverlos con un pull request y cobrar cuando se fusiona.
¿Es lo mismo que el bug bounty? No. El bug bounty premia vulnerabilidades en programas de empresas; las bounties de issues premian código fusionado en repos open source.
¿Cómo empiezo? Elige una plataforma como Algora u Opire, escoge un issue reciente sin pull request competidor en un stack que conozcas y envía un PR pequeño y bien probado.
Ver también: Tablero de bounties · Cómo reclamar una bounty de Algora · Modo sniper