Seguridad de lottengo.com

[HIGH] Falta de Content-Security-Policy: La ausencia de esta cabecera permite la ejecución de scripts maliciosos y ataques de inyección de contenido (XSS).

[HIGH] Falta de X-Frame-Options: El sitio es vulnerable a ataques de clickjacking, permitiendo que un atacante cargue la web en un marco invisible para engañar al usuario.

[HIGH] Falta de Strict-Transport-Security: No se obliga al navegador a usar conexiones seguras, permitiendo ataques de degradación de protocolo.

[HIGH] Ausencia de redirección HTTPS: El servidor responde a peticiones HTTP sin redirigir al protocolo seguro, exponiendo los datos transmitidos a interceptaciones.

[HIGH] Cookie PHPSESSID insegura (HttpOnly): La cookie de sesión es accesible mediante JavaScript, lo que facilita el robo de sesiones en caso de un ataque XSS.

[HIGH] Cookie PHPSESSID insegura (Secure): El identificador de sesión se envía a través de conexiones HTTP no cifradas, permitiendo que un atacante capture la sesión en redes públicas.

[MEDIUM] Cookie PHPSESSID sin atributo SameSite: La falta de esta configuración hace que el sitio sea susceptible a ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] Exposición de archivos informativos: Los archivos /readme.html y /README.txt son accesibles públicamente, lo que puede revelar detalles técnicos internos.

[MEDIUM] Rutas administrativas expuestas: Los paneles de acceso en /administrator/ y /user/login son visibles, facilitando intentos de acceso por fuerza bruta.

[MEDIUM] Falta de X-Content-Type-Options: Permite que el navegador intente adivinar el tipo de contenido, lo que puede llevar a la ejecución de archivos maliciosos camuflados.

[MEDIUM] Falta de Referrer-Policy: No se controla la cantidad de información que el navegador envía al navegar hacia otros sitios externos.

[MEDIUM] Falta de Permissions-Policy: El sitio no restringe el uso de APIs del navegador como la cámara o el micrófono, aumentando la superficie de ataque.

[MEDIUM] Ausencia de robots.txt y sitemap.xml: La falta de estos archivos dificulta el control sobre qué partes del sitio deben ser rastreadas por motores de búsqueda.

[LOW] Cabecera de servidor expuesta: El servidor revela que utiliza nginx, información que ayuda a los atacantes a buscar vulnerabilidades específicas para esa tecnología.