Seguridad de infocar.com.ar

[CRITICAL] Certificado SSL no válido: El certificado SSL ha expirado hace 1684 días, lo que impide establecer conexiones cifradas y seguras con los usuarios.

[HIGH] Ausencia de redirección HTTPS: El sitio responde a través de HTTP (puerto 80) sin redirigir al protocolo seguro, facilitando ataques de hombre en el medio (MITM).

[HIGH] Content-Security-Policy (CSP) faltante: La carencia de esta cabecera permite la ejecución de ataques XSS y la inyección de contenido no autorizado.

[HIGH] X-Frame-Options faltante: El sitio no protege contra ataques de clickjacking, permitiendo que la web sea embebida en marcos externos maliciosos.

[HIGH] Strict-Transport-Security (HSTS) faltante: No se instruye al navegador para usar exclusivamente conexiones seguras, permitiendo ataques de degradación de protocolo.

[HIGH] Cookie PHPSESSID sin flags de seguridad: Falta HttpOnly y Secure, lo que permite que la sesión sea robada mediante scripts o interceptada en conexiones no cifradas.

[HIGH] Cookie mac_id sin flags de seguridad: Al carecer de HttpOnly y Secure, esta cookie es vulnerable a ataques de acceso por scripts y captura en tránsito.

[HIGH] Cookie navegadorsoportado sin flags de seguridad: La ausencia de protecciones básicas en esta cookie incrementa la superficie de ataque para el secuestro de información.

[MEDIUM] X-Content-Type-Options faltante: El servidor no previene el sniffing de tipos MIME, lo que podría permitir que archivos cargados se interpreten como scripts ejecutables.

[MEDIUM] Cookies sin atributo SameSite: Las cookies mac_id, PHPSESSID y navegadorsoportado son vulnerables a ataques de falsificación de solicitud en sitios cruzados (CSRF).

[MEDIUM] Referrer-Policy faltante: No se controla la cantidad de información que el navegador envía al seguir enlaces hacia otros sitios web.

[MEDIUM] Permissions-Policy faltante: El sitio no restringe el acceso a funciones sensibles del navegador como la cámara, el micrófono o la geolocalización.

[MEDIUM] Falta de Sitemap en robots.txt: Aunque existe el archivo robots.txt, la ausencia de una ruta de sitemap dificulta la auditoría de rutas y la indexación correcta.

[LOW] Cabecera Server expuesta: El servidor revela que utiliza Apache, información que facilita a un atacante la búsqueda de exploits específicos para esa tecnología.