Seguridad de mi-boleto.com

[HIGH] Cookie localization sin flag HttpOnly: Al carecer de esta protección, la cookie es accesible mediante scripts del lado del cliente, lo que facilita ataques de Cross-Site Scripting (XSS).

[HIGH] Cookie localization sin flag Secure: La ausencia de este flag permite que la información se transmita por canales no cifrados, aumentando el riesgo de interceptación.

[HIGH] Cookie cart_currency sin flag HttpOnly: Esta omisión permite que atacantes puedan extraer datos de navegación o de sesión a través de vulnerabilidades en el navegador.

[HIGH] Cookie cart_currency sin flag Secure: Al no forzar la transmisión solo vía HTTPS, los datos de navegación pueden ser capturados en redes inseguras.

[MEDIUM] Puerto 8080 (HTTP-Alt) abierto: La exposición de un puerto alternativo de servidor web incrementa la superficie de ataque y sugiere servicios secundarios no protegidos.

[MEDIUM] Referrer-Policy ausente: El sitio no controla qué información de referencia se envía a otros dominios al navegar, lo que puede filtrar URLs privadas.

[MEDIUM] Permissions-Policy ausente: No se restringe el acceso a APIs sensibles del navegador como la cámara o el micrófono, dejando la seguridad del lado del usuario desprotegida.

[MEDIUM] HSTS max-age insuficiente: El tiempo de persistencia de la conexión segura es de solo 91 días, cuando el estándar de la industria recomienda un mínimo de 180 días.

[LOW] Cabecera Server expuesta: Se revela el uso de Cloudflare como tecnología de servidor, facilitando a un atacante potencial la búsqueda de vulnerabilidades específicas de ese proveedor.

[LOW] Ruta sensible en robots.txt: La referencia directa al directorio de administración permite a los atacantes identificar rápidamente el punto de entrada al panel de gestión.