Seguridad de aequorahotels.com

[HIGH] X-Frame-Options: La ausencia de esta cabecera permite ataques de clickjacking, donde un atacante puede cargar el sitio en un iframe invisible para engañar al usuario.

[HIGH] Strict-Transport-Security: No se implementa HSTS, lo que permite ataques de degradación de protocolo (SSL Stripping) al no forzar HTTPS en el navegador.

[HIGH] WordPress versión expuesta: Se detectó públicamente la versión 183 y 2, facilitando que atacantes identifiquen y exploten vulnerabilidades conocidas (CVEs).

[HIGH] Cookie PHPSESSID (HttpOnly/Secure): La falta de estas banderas permite que la sesión sea robada mediante scripts maliciosos (XSS) o interceptada en conexiones no seguras.

[MEDIUM] X-Content-Type-Options: Al no estar configurada, el navegador puede intentar interpretar archivos como un tipo de contenido distinto, permitiendo la ejecución de scripts camuflados.

[MEDIUM] Contenido Mixto: Existen 6 recursos que cargan mediante HTTP dentro de la página segura, lo que compromete la seguridad global del cifrado SSL.

[MEDIUM] Acceso a /readme.html y /wp-login.php: Estos archivos y rutas administrativas están expuestos, revelando detalles técnicos y permitiendo intentos de acceso no autorizados.

[MEDIUM] Cookie PHPSESSID (SameSite): La ausencia de esta bandera hace que la sesión sea susceptible a ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] Referrer-Policy: No existe una política definida para controlar cuánta información de procedencia se envía a terceros al hacer clic en enlaces.

[MEDIUM] Permissions-Policy: Falta una política que restrinja el acceso de las APIs del navegador a funciones sensibles como la cámara o el micrófono.

[LOW] Server header expuesto: El encabezado revela el uso de nginx, proporcionando información útil para que un atacante refine sus vectores de ataque.

[LOW] Meta generator expuesto: El código fuente detalla el uso de Elementor 4.0.1 y configuraciones específicas de fuentes y breakpoints.

[LOW] Ruta sensible en robots.txt: Se hace referencia directa al directorio admin, señalando áreas restringidas que no deberían ser indexadas ni sugeridas.