Seguridad de academiaonline.clinicachinita.com

[CRITICAL] Puerto 3306 (MySQL) abierto: La base de datos es accesible desde internet, lo que permite ataques de fuerza bruta o explotación de vulnerabilidades del motor de datos.

[HIGH] Cabecera Content-Security-Policy faltante: La ausencia de CSP facilita la ejecución de ataques Cross-Site Scripting (XSS) e inyecciones de contenido.

[HIGH] Cabecera X-Frame-Options faltante: El sitio no previene el clickjacking, permitiendo que atacantes carguen la web en marcos externos para engañar usuarios.

[HIGH] HSTS (Strict-Transport-Security) no configurado: No se fuerza al navegador a usar siempre HTTPS, dejando la conexión vulnerable a ataques de degradación de cifrado.

[HIGH] Cookie PHPSESSID sin flag HttpOnly: La sesión es accesible mediante scripts del lado del cliente, aumentando el riesgo de robo de identidad en caso de XSS.

[HIGH] Cookie PHPSESSID sin flag Secure: El identificador de sesión puede ser transmitido a través de canales no cifrados si el usuario accede por error vía HTTP.

[HIGH] Puerto 21 (FTP) abierto: Se permite la transferencia de archivos mediante un protocolo inseguro que envía credenciales en texto plano.

[MEDIUM] Cabecera X-Content-Type-Options faltante: Facilita ataques de MIME-type sniffing, permitiendo que el navegador interprete archivos de forma incorrecta y peligrosa.

[MEDIUM] Cabecera Referrer-Policy faltante: No se controla qué información de origen se envía a otros dominios, lo que podría filtrar rutas internas sensibles.

[MEDIUM] Cookie PHPSESSID sin flag SameSite: El sitio carece de protección nativa en cookies contra ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] Puerto 22 (SSH) abierto: La interfaz de gestión remota está expuesta al público, lo que supone un vector de ataque para accesos no autorizados.

[LOW] Exposición de cabecera Server: El servidor revela el uso de Apache, proporcionando información útil para que un atacante busque exploits específicos.

[LOW] Exposición de cabecera X-Powered-By: Se revela el uso de PHP/7.4.33, informando sobre la tecnología y versión exacta utilizada en el backend.

[LOW] Archivo robots.txt no encontrado: El servidor responde con un error 500 al buscar este archivo, lo que impide gestionar el rastreo de buscadores adecuadamente.