Seguridad de forentrepreneurs.com

[HIGH] Falta de Strict-Transport-Security: La ausencia de HSTS permite ataques de degradación de SSL y no garantiza conexiones seguras obligatorias.

[HIGH] Falta de Content-Security-Policy: El sitio carece de políticas para prevenir ataques de Cross-Site Scripting (XSS) e inyección de datos.

[HIGH] Falta de X-Frame-Options: No se implementa protección contra ataques de clickjacking, permitiendo que la web sea cargada en marcos externos maliciosos.

[HIGH] Versión de WordPress expuesta: La visibilidad pública de la versión 1785121712 permite a atacantes buscar vulnerabilidades específicas (CVE) para dicho sistema.

[HIGH] Cookie ep_session_id sin HttpOnly: Las cookies de sesión son accesibles mediante scripts del navegador, lo que facilita el robo de sesiones en caso de un ataque XSS.

[MEDIUM] Contenido mixto detectado: Se identificaron 6 recursos cargados a través de HTTP en una página HTTPS, comprometiendo la integridad y privacidad del sitio.

[MEDIUM] Puerto 8080 abierto: La exposición de este puerto alternativo aumenta la superficie de ataque y revela servicios internos potencialmente vulnerables.

[MEDIUM] Falta de X-Content-Type-Options: La ausencia de esta cabecera permite el sniffing de tipos MIME, lo que puede derivar en la ejecución de código no deseado.

[MEDIUM] Panel de login accesible: La ruta /wp-login.php está disponible públicamente, lo que facilita intentos de acceso no autorizado mediante fuerza bruta.

[MEDIUM] Falta de Referrer-Policy y Permissions-Policy: No existe control sobre la información de navegación compartida ni sobre las funciones del navegador permitidas.

[LOW] Exposición de cabeceras de servidor: Se revela el uso de Cloudflare y WP Engine, entregando información técnica valiosa para el reconocimiento por parte de atacantes.

[LOW] Meta generator expuesto: La etiqueta meta revela detalles del plugin WPML, aportando más datos sobre la infraestructura interna.