Si llevabas tiempo mirando la CBBH de HackTheBox y de repente no la encuentras, no te has vuelto loco: desde el 1 de octubre de 2025 se llama CWES (Certified Web Exploitation Specialist). No es una cert nueva; es la misma CBBH renombrada, con el path reorganizado y un par de módulos nuevos. Quien ya la tenía se la encontró actualizada sola, badge de Credly incluido. Como la acabo de repasar con el cambio ya hecho, aquí va mi review.
Qué es la CWES
Es la certificación web de HackTheBox: 100% práctica, de nivel intermedio y centrada solo en aplicaciones web. El nombre nuevo encaja mejor con lo que realmente evalúa; “Bug Bounty Hunter” se quedaba corto porque la cert siempre fue más de pentest web que de cazar bugs por recompensa.
Te la preparas con el path Web Penetration Tester (el que antes era “Bug Bounty Hunter”), unos 20 módulos del Academy. Con el rebrand renovaron cerca de la mitad del temario para ponerlo al día.
La formación
El path va de lo básico a lo serio: peticiones HTTP, uso de proxies, recolección de información, fuzzing y de ahí a toda la tanda de ataques web —SQLi, XSS, command injection, file inclusion, file upload, server-side (SSRF, SSTI), ataques a autenticación…— hasta el reporte. Lo nuevo que de verdad se agradece:
- API Attacks, bien enfocado a REST.
- Attacking GraphQL, que es justo lo que faltaba para no quedarse anclado en webs de hace diez años.
- Attacking Common Applications, más amplio que el antiguo módulo centrado solo en WordPress.
- Web Fuzzing renovado.
El formato es el de siempre en HTB Academy: mucho texto e imágenes, cero vídeos. Es denso y se hace largo, pero está bien escrito y cada módulo trae sus ejercicios con objetivos reales para practicar lo que acabas de leer. Si vienes de cursos en vídeo, el cambio de ritmo cuesta; a cambio, lo que se queda, se queda mejor.
El examen
Aquí es donde la cert gana. Son 7 días en total para atacar y para escribir, contra un conjunto de aplicaciones web reales en la plataforma (la comunidad habla de unas cinco). En cada objetivo la meta es la misma: llegar a administrador y conseguir RCE. No basta con encontrar un fallo suelto; casi siempre toca encadenar varias vulnerabilidades para llegar hasta el final, que es exactamente lo que pasa en un engagement de verdad.
Para aprobar necesitas una nota alta —la comunidad la sitúa en torno a 8 de 10 flags— y, lo que mucha gente infravalora, un informe de nivel profesional. El informe no es un trámite: pesa de verdad en la nota y HTB lo revisa como si fuera una entrega de cliente. Puedes tirar de la Pwnbox o de tu propia VPN y herramientas, da igual.
Un detalle que agradece el bolsillo: si entregas informe en el primer intento, tienes un segundo intento sin pagar de más.
El informe vale la mitad de la nota. Resulta que hackear era la parte fácil.
Lo bueno y lo malo
A favor:
- El examen es realista de verdad. Encadenar bugs contra apps completas se parece mucho más a un pentest real que capturar flags sueltas.
- Siete días dan margen para pensar sin la presión absurda de un OSCP de 24 horas.
- Los módulos de API y GraphQL por fin ponen la cert al día.
- El informe te obliga a saber comunicar, que es la mitad del trabajo y lo que más flojea la gente técnica.
En contra:
- Todo es texto. Si odias leer pantallas, se te va a hacer cuesta arriba.
- No es para empezar de cero: sin una base mínima de web, los módulos se te van a hacer un muro.
- El reporte come tiempo. Más vale llevarlo al día desde el examen y no dejarlo para el final.
¿Para quién?
Si quieres dedicarte a pentest web o AppSec, o reforzar esa pata dentro de un perfil más generalista, la CWES es de las certs con mejor relación calidad-precio que hay, sobre todo si pillas la suscripción anual cuando trae vouchers de examen. Para bug bounty puro también vale como base ordenada, aunque ahí el nombre antiguo vendía mejor la moto.
Si vienes totalmente de cero, mejor calienta antes con material más introductorio; la CWES asume que ya sabes moverte por una petición HTTP y leer una respuesta sin asustarte.
