Seguridad de creditoacr.com

[HIGH] Content-Security-Policy (CSP): Ausencia de política de seguridad de contenido, permitiendo la ejecución de scripts maliciosos y ataques XSS.

[HIGH] X-Frame-Options: Falta de cabecera contra Clickjacking, lo que permite que el sitio sea embebido en marcos externos fraudulentos.

[HIGH] Strict-Transport-Security (HSTS): No se fuerza el uso de HTTPS a nivel de navegador, exponiendo a los usuarios a ataques de degradación de red.

[HIGH] WordPress version: Exposición pública de las versiones 5.2.7 y 2.7, las cuales poseen múltiples vulnerabilidades conocidas (CVEs).

[HIGH] Cookie Security (HttpOnly/Secure): Las cookies carecen de flags de seguridad, permitiendo su robo mediante scripts o transmisiones no cifradas.

[MEDIUM] X-Content-Type-Options: Ausencia de protección contra MIME-type sniffing, lo que podría derivar en la ejecución de archivos maliciosos.

[MEDIUM] SameSite Cookie: Falta del atributo SameSite, dejando el sitio vulnerable a ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] Referrer-Policy y Permissions-Policy: Falta de control sobre la información de navegación compartida y las capacidades de hardware del navegador.

[MEDIUM] Rutas sensibles expuestas: El panel de administración wp-login.php y el archivo readme.html son accesibles, revelando información técnica a atacantes.

[LOW] Server header: El servidor revela detalles específicos de la tecnología utilizada (Apache/2.4.18 en Ubuntu).

[LOW] Robots.txt y Sitemap: El archivo robots.txt menciona rutas administrativas y no se localizó el archivo sitemap.xml.