Seguridad de caminante.cat

[ALTA] Puerto 21 (FTP) abierto: El servicio de transferencia de archivos no está cifrado, lo que permite la interceptación de credenciales y datos por parte de terceros.

[ALTA] Cookies de sesión inseguras: La cookie PHPSESSID carece de los atributos HttpOnly y Secure, permitiendo que sea robada mediante scripts maliciosos o interceptada en conexiones no seguras.

[ALTA] Falta de Content-Security-Policy: La ausencia de esta cabecera facilita ataques de inyección de contenido y Cross-Site Scripting (XSS).

[ALTA] Falta de X-Frame-Options: El sitio no previene el enmarcado de su contenido, siendo vulnerable a ataques de secuestro de clics o clickjacking.

[ALTA] Falta de Strict-Transport-Security: No existe una directiva HSTS que obligue al navegador a usar siempre conexiones seguras, permitiendo ataques de degradación de protocolo.

[MEDIA] Falta de X-Content-Type-Options: El servidor no previene el sniffing de tipos MIME, lo que podría llevar a la ejecución de archivos maliciosos disfrazados.

[MEDIA] Falta de Referrer-Policy: No se controla la cantidad de información que el navegador envía al navegar hacia otros enlaces.

[MEDIA] Falta de Permissions-Policy: No hay restricciones sobre el acceso a funciones sensibles del navegador como la cámara, el micrófono o la ubicación.

[MEDIA] Cookie sin atributo SameSite: La sesión PHPSESSID es susceptible a ataques de falsificación de petición en sitios cruzados (CSRF).

[BAJA] Exposición de cabecera Server: El servidor revela que opera bajo Apache, proporcionando información útil para que un atacante busque vulnerabilidades específicas de esa versión.

[BAJA] Ruta sensible en robots.txt: Se ha detectado una referencia directa al directorio admin, facilitando la identificación de áreas de gestión privada.