Seguridad de elpais.com

[HIGH] Content-Security-Policy: La ausencia de esta cabecera permite ataques de inyección de código y Cross-Site Scripting (XSS).

[HIGH] X-Frame-Options: La falta de configuración protege el sitio contra ataques de clickjacking.

[HIGH] Strict-Transport-Security: No se fuerza la conexión cifrada mediante HSTS, permitiendo ataques de degradación de protocolo.

[HIGH] Cookies inseguras (arc-geo, eptz, hpage): Falta el flag HttpOnly, permitiendo que la cookie sea accesible mediante scripts maliciosos.

[HIGH] Cookies en conexión no cifrada: Falta el flag Secure en las cookies arc-geo, eptz y hpage, enviando datos sensibles por canales inseguros.

[MEDIUM] X-Content-Type-Options: La ausencia de esta cabecera permite el sniffing de tipos MIME por parte del navegador.

[MEDIUM] Referrer-Policy: No existe una política definida para controlar cuánta información de referencia se envía a otros sitios.

[MEDIUM] Permissions-Policy: No se restringe el acceso a APIs sensibles del navegador como la cámara o el micrófono.

[MEDIUM] SameSite en Cookies: La falta de este atributo hace que las cookies de sesión sean vulnerables a ataques CSRF.

[MEDIUM] Robots.txt y Sitemap: El archivo robots.txt bloquea todo el contenido y no se ha localizado un mapa del sitio (sitemap.xml).

[LOW] Certificado SSL/TLS: El certificado de seguridad es válido pero expira próximamente, en un periodo de 27 días.

[LOW] Cabecera de servidor expuesta: Se revela el uso de la tecnología openresty, facilitando información para ataques dirigidos.