Seguridad de erp.rubyks.com

[HIGH] Content-Security-Policy: La ausencia de esta cabecera facilita la ejecución de ataques de inyección de contenido y scripts maliciosos (XSS).

[HIGH] X-Frame-Options: La falta de esta protección permite que el sitio sea embebido en marcos externos, facilitando ataques de Clickjacking.

[HIGH] Strict-Transport-Security: No se detectó la directiva HSTS, lo que permite que el navegador intente conexiones no cifradas antes de pasar a HTTPS.

[HIGH] Cookie XSRF-TOKEN (HttpOnly): El token de seguridad no tiene el flag HttpOnly, permitiendo su acceso mediante scripts y aumentando el riesgo de robo de identidad.

[HIGH] Cookie XSRF-TOKEN (Secure): El token se envía sin el atributo Secure, lo que posibilita su interceptación en conexiones de red no protegidas.

[HIGH] Cookie rubyk_session (Secure): La cookie de sesión carece del flag de seguridad, comprometiendo la integridad de la sesión del usuario.

[MEDIUM] X-Content-Type-Options: La falta de esta cabecera permite el MIME-type sniffing, lo que puede llevar a la ejecución de archivos con contenido malicioso.

[MEDIUM] Referrer-Policy: No existe una política definida para el control de la información de navegación enviada a terceros.

[MEDIUM] Permissions-Policy: El sitio no restringe el uso de APIs sensibles del navegador como cámara o micrófono.

[LOW] Server header expuesto: El servidor revela el uso de nginx, proporcionando información técnica útil para potenciales atacantes.

[LOW] X-Powered-By expuesto: Se expone el uso de PHP/8.3.19 y Plesk, revelando detalles del framework y la infraestructura.

[LOW] sitemap.xml: El archivo de mapa del sitio no fue localizado, lo que afecta la visibilidad y auditoría de la estructura web.