Seguridad de fichar.vigiprot.com

[HIGH] Puerto 21 (FTP) abierto: La presencia de este puerto abierto indica el uso de un protocolo de transferencia de archivos que no utiliza cifrado, permitiendo que un atacante intercepte credenciales y datos en tránsito.

[HIGH] Content-Security-Policy (CSP) ausente: Al no existir esta política, el sitio es altamente vulnerable a ataques de inyección de contenido y Cross-Site Scripting (XSS).

[HIGH] X-Frame-Options ausente: La falta de esta cabecera permite que el sitio sea embebido en iframes de dominios maliciosos, facilitando ataques de clickjacking.

[HIGH] Redirección HTTP a HTTPS inexistente: El servidor no fuerza el uso de conexiones cifradas, lo que permite ataques de intermediario (Man-in-the-Middle) al navegar por la versión insegura del sitio.

[MEDIUM] Cookie PHPSESSID sin atributo SameSite: Esta configuración deja la sesión del usuario desprotegida ante ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] X-Content-Type-Options ausente: El navegador puede intentar adivinar el tipo de contenido (MIME-sniffing), lo que puede ser explotado para ejecutar scripts maliciosos disfrazados de otros archivos.

[MEDIUM] Referrer-Policy ausente: No se controla la información de referencia que el navegador envía a otros sitios, lo que puede derivar en la filtración de URLs internas.

[MEDIUM] Permissions-Policy ausente: El sitio no restringe el acceso a funciones sensibles del hardware o APIs del navegador, aumentando el riesgo de privacidad.

[LOW] Cabecera Server expuesta: Se revela que el servidor utiliza Apache, proporcionando información valiosa a los atacantes para buscar exploits específicos de dicha tecnología.

[LOW] Ausencia de archivos robots.txt y sitemap.xml: El servidor responde con errores 404 para estos archivos, lo que indica una falta de configuración básica en la gestión de rastreo.