Seguridad de erp-prod.meda.team

[ALTA] Falta de Content-Security-Policy: La ausencia de esta cabecera facilita ataques de Cross-Site Scripting (XSS) e inyección de contenido malicioso.

[ALTA] Falta de Strict-Transport-Security: Sin la directiva HSTS, el sitio es susceptible a ataques de degradación de protocolo y secuestro de cookies en conexiones inseguras.

[ALTA] Cookie XSRF-TOKEN sin atributo HttpOnly: Esta omisión permite que scripts maliciosos accedan al token de seguridad, aumentando el riesgo de robo de identidad.

[MEDIA] Falta de Referrer-Policy: No se controla la información de origen enviada a terceros, lo que podría filtrar datos sensibles presentes en las URLs.

[MEDIA] Falta de Permissions-Policy: El navegador no tiene restricciones sobre el uso de APIs como la cámara o el micrófono, ampliando la superficie de ataque potencial.

[BAJA] Exposición de cabecera Server: Se revela el uso de nginx/1.22.1, lo que permite a un atacante identificar vulnerabilidades específicas para esa versión del software.

[BAJA] Exposición de cabecera X-Powered-By: El servidor divulga que utiliza PHP/8.2.31, facilitando el perfilado tecnológico del entorno para ataques dirigidos.

[BAJA] Falta de sitemap.xml: La ausencia de este archivo dificulta la correcta auditoría de rutas y puede ser indicativo de una configuración de servidor incompleta.