Seguridad de cid.unasam.edu.pe

[CRITICAL] Puerto 3306 (MySQL): Base de datos MySQL expuesta directamente a internet, permitiendo intentos de intrusión y ataques de fuerza bruta externos.

[CRITICAL] Puerto 5432 (PostgreSQL): Servicio de base de datos PostgreSQL accesible públicamente, lo que facilita la explotación de vulnerabilidades en el motor de datos.

[HIGH] Content-Security-Policy (CSP): Ausencia de esta cabecera, lo que deja el sitio vulnerable a ataques de Cross-Site Scripting (XSS) e inyección de contenido malicioso.

[HIGH] Strict-Transport-Security (HSTS): No se fuerza el uso de HTTPS a nivel de navegador, permitiendo ataques de degradación de conexión (downgrade attacks).

[HIGH] Cookie XSRF-TOKEN: Carece de los flags HttpOnly y Secure, permitiendo que la cookie sea accesible mediante scripts y enviada por canales no cifrados.

[HIGH] Cookie laravel_session: Falta el flag Secure, lo que expone el identificador de sesión si el tráfico es interceptado en conexiones no cifradas.

[MEDIUM] Contenido Mixto: Presencia de 6 recursos cargados mediante HTTP en una página protegida por HTTPS, lo que compromete la seguridad global del cifrado.

[MEDIUM] Puerto 22 (SSH): El puerto de gestión remota está abierto, aumentando la superficie de ataque frente a intentos de acceso no autorizados al servidor.

[MEDIUM] Cookies SameSite: Las cookies de sesión no tienen configurado el atributo SameSite, haciéndolas susceptibles a ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] Panel de Login: La ruta /user/login es accesible de forma pública, facilitando el reconocimiento y ataques dirigidos contra cuentas administrativas.

[LOW] Certificado SSL: El certificado digital expira en 28 días, lo que requiere una gestión de renovación inmediata para evitar alertas de seguridad a los usuarios.

[LOW] Server header: La cabecera revela el uso de openresty, proporcionando información técnica específica que ayuda a los atacantes a buscar exploits conocidos.

[LOW] Archivos de indexación: No se encontraron robots.txt ni sitemap.xml (error 500), dificultando la auditoría de acceso y el control de rastreo.