¿Buscas dónde practicar hacking ético sin arriesgarte a problemas legales? Aquí tienes las mejores plataformas para practicar pentesting en 2026, ordenadas por nivel y con mi recomendación personal según tu experiencia.
Si ya tienes tu propio laboratorio de ciberseguridad montado (por ejemplo, con Proxmox y pfSense, como te expliqué en esta guía), estas plataformas te permitirán pasar de la teoría a la práctica real sin necesidad de exponer nada fuera de tu red.
¿Por qué practicar pentesting en plataformas online?
Montar un laboratorio propio está bien, pero tiene límites:
- Necesitas máquinas vulnerables (Metasploitable, VulnHub, etc.)
- Necesitas mantenerlas y actualizarlas
- No tienes una comunidad con la que comparar tus soluciones
- No tienes retos progresivos que te obliguen a subir de nivel
Las plataformas de pentesting resuelven todo eso: pagas (o no) y tienes acceso inmediato a cientos de máquinas vulnerables, retos guiados y una comunidad que comparte writeups.
1. TryHackMe — La mejor para empezar desde cero
Web: tryhackme.com
TryHackMe es, probablemente, la plataforma más amigable para principiantes. Todo se hace desde el navegador (no necesitas instalar nada) y tiene rutas de aprendizaje estructuradas.
Puntos fuertes:
- Rutas guiadas paso a paso (Pre-Security, Complete Beginner, Jr Penetration Tester, SOC Level 1)
- Salas gratuitas más que suficientes para empezar
- Comunidad enorme y muy activa
- Ideal para preparar certificaciones como eJPT
Puntos débiles:
- Los retos son más fáciles que en otras plataformas
- Algunas salas son demasiado guiadas (te dan casi la respuesta)
Precio: Gratis con contenido limitado / ~14 €/mes la suscripción Premium
Mi recomendación: Si nunca has tocado una terminal, empieza aquí. Sin dudarlo.
2. Hack The Box — La referencia para nivel intermedio-avanzado
Web: hackthebox.com
Hack The Box (HTB) es el estándar de facto en la comunidad de pentesting. Sus máquinas son retos reales sin guía: te dan una IP y tienes que encontrar la forma de entrar.
Puntos fuertes:
- Máquinas muy realistas (nada de «pistas» artificiales)
- Dificultad progresiva: Easy, Medium, Hard, Insane
- HTB Academy para formación estructurada
- Pro Labs (simulaciones de redes empresariales completas)
- Su certificación CPTS está ganando mucho peso
Puntos débiles:
- No es para principiantes absolutos. Si no sabes Linux básico, vas a frustrarte
- Las máquinas buenas requieren suscripción VIP
Precio: Gratis con límite de máquinas / ~14 €/mes VIP
Mi recomendación: Cuando lleves 3-4 meses en TryHackMe y te sientas cómodo, salta a HTB. Es el siguiente paso natural.
3. PortSwigger Web Security Academy — La mejor para seguridad web
Web: portswigger.net/web-security
PortSwigger, los creadores de Burp Suite, ofrecen formación gratuita de altísima calidad sobre seguridad en aplicaciones web.
Puntos fuertes:
- Completamente gratis (no hay trampa)
- Cubre SQLi, XSS, CSRF, SSRF, XXE, deserialización, etc.
- Laboratorios interactivos para cada vulnerabilidad
- Es, literalmente, el material que usan los profesionales
Puntos débiles:
- Solo cubre seguridad web (no redes, no Active Directory, no binarios)
- Requiere conocimientos previos de HTTP y web
Precio: 100% gratis
Mi recomendación: Obligatorio si te interesa el pentesting web. No hay excusa para no hacerlo.
4. OverTheWire — Para dominar la terminal Linux
Web: overthewire.org
OverTheWire ofrece wargames (retos por niveles) que te enseñan a usar la terminal Linux como un profesional. Su serie Bandit es legendaria.
Puntos fuertes:
- Bandit empieza desde cero absoluto (comandos básicos)
- Natas, Leviathan, Krypton para temas específicos
- Gratis y por SSH (nada de navegador)
- Te obliga a pensar
Puntos débiles:
- Nada visual, todo terminal
- No es pentesting puro, es más «fundamentos de Linux»
Precio: Gratis
Mi recomendación: Haz Bandit antes de empezar TryHackMe. Te ahorrarás frustración.
5. VulnHub — Máquinas vulnerables para tu propio laboratorio
Web: vulnhub.com
VulnHub es un repositorio de máquinas virtuales vulnerables que descargas y ejecutas en tu propio laboratorio (VirtualBox, VMware o Proxmox).
Puntos fuertes:
- Gratis
- Sin conexión a internet (todo local)
- Perfecto para tu laboratorio de Proxmox
- Máquinas clásicas como Kioptrix, Mr-Robot, etc.
Puntos débiles:
- No hay pistas ni comunidad integrada
- Algunas máquinas son antiguas y dan problemas
- Tienes que montarlo todo tú
Precio: Gratis
Mi recomendación: Ideal si ya tienes tu laboratorio con Proxmox montado (como explico aquí). Descarga 3-4 máquinas y practica sin depender de internet.
6. HackTheBox Academy — Formación estructurada de pago
Aunque comparte nombre con HTB, Academy es un producto distinto: son módulos formativos con teoría + laboratorios.
Puntos fuertes:
- Contenido muy actualizado
- Módulos específicos: Active Directory, Buffer Overflow, Web, etc.
- Prepara para la certificación CPTS
- Los estudiantes tienen descuento
Puntos débiles:
- De pago (aunque asequible)
- Hay que ir módulo a módulo
Precio: Desde ~8 €/mes (con estudiante) hasta ~40 €/mes
Mi recomendación: Si quieres preparar la CPTS o certificaciones serias, merece la pena.
7. PentesterLab — Para pentesting web y de código
Web: pentesterlab.com
PentesterLab se centra en vulnerabilidades de aplicaciones web con un enfoque muy práctico y actualizado.
Puntos fuertes:
- Ejercicios muy bien explicados
- Cubre temas que otras plataformas ignoran (JWT, OAuth, etc.)
- Comunidad pequeña pero muy técnica
Puntos débiles:
- De pago
- Menos conocido que HTB o TryHackMe
Precio: ~20 €/mes
Mi recomendación: Si tu foco es seguridad web profesional, es un complemento excelente a PortSwigger.
8. Root-Me — Retos variados y comunidad francesa
Web: root-me.org
Root-Me es una plataforma francesa con cientos de retos clasificados por categoría y dificultad.
Puntos fuertes:
- Muchísimos retos (web, cripto, forense, reversing, etc.)
- Gratis en gran parte
- Comunidad activa
Puntos débiles:
- Interfaz algo anticuada
- Buena parte del contenido en francés (aunque hay opción en inglés)
- Menos estructurado que HTB o THM
Precio: Gratis / ~10 €/mes Premium
Mi recomendación: Buen complemento si quieres variedad y no te importa el idioma.
9. Blue Team Labs Online — Para el lado defensivo
Web: blueteamlabs.online
Si te interesa el Blue Team (defensa, SOC, análisis forense), esta es tu plataforma.
Puntos fuertes:
- Retos de análisis forense, malware, logs
- Enfoque defensivo (poco común)
- Prepara para certificaciones como BTL1
Puntos débiles:
- No es pentesting puro
- Menos contenido que las plataformas ofensivas
Precio: Gratis con límite / ~15 €/mes
Mi recomendación: Si quieres hacer Red Team y Blue Team, empieza por el rojo y luego pásate al azul. Esta es la mejor para el azul.
10. Hack The Box Pro Labs — Simulaciones de redes empresariales
Los Pro Labs de HTB son entornos completos que simulan redes corporativas reales: múltiples máquinas, Active Directory, pivoting, etc.
Puntos fuertes:
- Simulación muy realista
- Perfecto para preparar OSCP, CRTP, OSEP
- Retos de larga duración (días o semanas)
Puntos débiles:
- Caro
- Requiere nivel alto (no es para principiantes)
- Solo disponible con suscripción
Precio: Desde ~50 €/mes
Mi recomendación: Solo cuando lleves mínimo un año practicando y quieras dar el salto a certificaciones serias.
Tabla comparativa rápida
| Plataforma | Nivel | Precio | Ideal para |
|---|---|---|---|
| TryHackMe | Principiante | Gratis / 14 €/mes | Empezar desde cero |
| Hack The Box | Intermedio-Avanzado | Gratis / 14 €/mes | Practicar retos reales |
| PortSwigger Academy | Intermedio | Gratis | Seguridad web |
| OverTheWire | Principiante | Gratis | Fundamentos Linux |
| VulnHub | Variable | Gratis | Laboratorio propio |
| HTB Academy | Intermedio | 8-40 €/mes | Formación estructurada |
| PentesterLab | Intermedio | 20 €/mes | Web avanzada |
| Root-Me | Variable | Gratis / 10 €/mes | Variedad de retos |
| Blue Team Labs | Intermedio | Gratis / 15 €/mes | Defensa y forense |
| HTB Pro Labs | Avanzado | 50 €/mes | Certificaciones |
¿Cuál elegir según tu nivel?
Si nunca has usado Linux:
→ OverTheWire (Bandit) + TryHackMe (Pre-Security)
Si ya sabes Linux básico:
→ TryHackMe (Complete Beginner → Jr Penetration Tester)
Si quieres especializarte en web:
→ PortSwigger Academy + PentesterLab
Si quieres preparar certificaciones (OSCP, eJPT, CPTS):
→ TryHackMe + HTB Academy + HTB Pro Labs
Si tienes laboratorio propio (Proxmox, VMware):
→ VulnHub + máquinas de HTB descargables
Conclusión
No existe «la mejor plataforma». Existe la mejor plataforma para tu momento actual.
Mi recomendación personal, si empiezas hoy:
- Semana 1-2: OverTheWire Bandit (gratis)
- Mes 1-3: TryHackMe (ruta Complete Beginner)
- Mes 3-6: TryHackMe (Jr Penetration Tester) + PortSwigger Academy
- Mes 6-12: Hack The Box (Starting Point → Easy)
- Año 2: HTB Academy + Pro Labs (si buscas certificación)
Y si tienes tu propio laboratorio con Proxmox, ve metiendo máquinas de VulnHub entre medias para practicar sin depender de internet.
La clave no es la plataforma. Es la constancia.
Artículos relacionados
- Cómo montar un laboratorio de ciberseguridad profesional con Proxmox y pfSense
- Guía completa de hacking ético
- Kali Linux vs Parrot OS: comparativa 2026
- Mejores distribuciones Linux para hacking ético
- Guía completa de ciberseguridad
- Cómo hacer un pentesting en redes Wi-Fi públicas
- Pruebas de penetración en aplicaciones web: introducción básica
- Guía completa: cómo realizar un pentesting en aplicaciones móviles
Preguntas frecuentes (FAQ)
¿Puedo practicar pentesting sin arriesgarme legalmente?
Sí. Todas las plataformas de esta lista son legales: son entornos controlados donde practicas con autorización implícita.
¿Cuál es mejor, TryHackMe o Hack The Box?
Depende de tu nivel. TryHackMe para empezar, HTB para cuando ya sepas moverte. No son excluyentes.
¿Necesito saber programar para practicar pentesting?
No para empezar, pero ayuda. Python y Bash son los más útiles. Te recomiendo aprender a programar en Python desde cero.
¿Qué certificación me preparan estas plataformas?
TryHackMe → eJPT. HTB Academy → CPTS. HTB Pro Labs → OSCP. PortSwigger → BSCP (Burp Suite Certified Practitioner).
¿Puedo practicar todo desde mi propio laboratorio?
Sí, con VulnHub + Proxmox tienes suficiente. Pero las plataformas online te dan retos más variados y comunidad.
Última actualización: 2026
