Seguridad de dragonjar.org

[HIGH] Falta de Strict-Transport-Security: No se fuerza el uso de HTTPS mediante HSTS, permitiendo ataques de interceptación de tráfico tipo Man-in-the-Middle.

[HIGH] Falta de X-Frame-Options: La ausencia de esta cabecera permite que el sitio sea cargado en iframes, facilitando ataques de clickjacking para engañar usuarios.

[HIGH] Version de WordPress 6.3 expuesta: Revelar la versión exacta permite a los atacantes identificar y explotar vulnerabilidades públicas específicas (CVEs).

[MEDIUM] Falta de X-Content-Type-Options: El sitio es vulnerable al sniffing de tipos MIME, lo que podría permitir la ejecución de archivos maliciosos como scripts.

[MEDIUM] Falta de Referrer-Policy y Permissions-Policy: No se controla la información enviada en los enlaces salientes ni se restringen las capacidades del navegador del usuario.

[MEDIUM] Acceso público a /readme.html y /wp-login.php: La exposición de estos archivos y rutas facilita el reconocimiento y los ataques de fuerza bruta contra el panel administrativo.

[MEDIUM] Puerto 8080 (HTTP-Alt) abierto: La visibilidad de puertos alternativos aumenta la superficie de ataque y sugiere servicios internos mal configurados.

[LOW] Cabeceras de servidor expuestas (Server y X-Powered-By): Se revela el uso de Cloudflare y PHP/8.2.30, proporcionando datos valiosos para la fase de reconocimiento de un ataque.

[LOW] Meta generator expuesto: El plugin Site Kit by Google revela información sobre la estructura interna y herramientas utilizadas en el CMS.

[LOW] Ruta sensible en robots.txt: La referencia directa al directorio admin facilita la identificación de áreas restringidas para atacantes automatizados.