Seguridad de megavenda.ceos.digital

[HIGH] Content-Security-Policy: La ausencia de esta cabecera permite la ejecución de ataques de inyección de contenido y Cross-Site Scripting (XSS).

[HIGH] X-Frame-Options: La falta de esta directiva hace que el sitio sea susceptible a ataques de clickjacking, donde un atacante puede engañar al usuario para realizar acciones no deseadas.

[HIGH] Strict-Transport-Security: No se fuerza el uso de conexiones seguras mediante HSTS, permitiendo posibles ataques de degradación de protocolo.

[MEDIUM] X-Content-Type-Options: El sitio es vulnerable a ataques de MIME-sniffing al no impedir que el navegador adivine el tipo de contenido de los archivos.

[MEDIUM] Referrer-Policy: La falta de control sobre la información de referencia puede filtrar datos sensibles de la navegación a dominios externos.

[MEDIUM] Permissions-Policy: No se restringen las capacidades del navegador, permitiendo potencialmente el acceso a APIs de hardware como cámara o micrófono.

[LOW] Server header expuesto: La cabecera revela el uso de Microsoft-IIS/10.0, lo que facilita a los atacantes la búsqueda de exploits específicos para esa versión.

[LOW] X-Powered-By expuesto: Se expone el uso del framework ASP.NET, proporcionando información valiosa para la fase de reconocimiento de un ataque.

[LOW] Archivos informativos faltantes: La inexistencia de robots.txt y sitemap.xml dificulta la gestión de indexación y el reconocimiento estructurado del sitio.