Seguridad de moodle.elescondite.duckdns.org

[HIGH] Content-Security-Policy: La ausencia de esta cabecera permite la ejecución de scripts maliciosos y ataques de inyección de contenido (XSS).

[HIGH] Strict-Transport-Security: Al no estar configurado el HSTS, el navegador no fuerza conexiones seguras, permitiendo ataques de degradación de protocolo.

[MEDIUM] X-Content-Type-Options: La falta de esta directiva permite el sniffing de tipos MIME, lo que puede llevar a interpretar archivos de datos como scripts ejecutables.

[MEDIUM] Referrer-Policy: No se controla la información de procedencia enviada en las peticiones, lo que supone un riesgo para la privacidad de los usuarios.

[MEDIUM] Permissions-Policy: La plataforma no restringe el acceso a APIs del navegador como la cámara o el micrófono, aumentando la superficie de ataque.

[MEDIUM] Cookie MoodleSession: La falta del atributo SameSite en la cookie de sesión principal expone a los usuarios a ataques de falsificación de peticiones en sitios cruzados (CSRF).

[LOW] Server header expuesto: La cabecera revela el uso de openresty, proporcionando información valiosa a posibles atacantes sobre la infraestructura del servidor.

[LOW] X-Powered-By expuesto: Se detecta la versión específica de PHP/8.2.33, lo que permite buscar vulnerabilidades conocidas para esa versión concreta del lenguaje.

[LOW] Archivos de indexación ausentes: No se encontraron los archivos robots.txt ni sitemap.xml, lo que dificulta el control de rastreo y la gestión de la visibilidad del sitio.