Seguridad de portal.ceos.digital

[HIGH] Content-Security-Policy: La ausencia de esta cabecera permite la ejecución de scripts no autorizados y ataques de inyección de contenido o XSS.

[HIGH] X-Frame-Options: Falta esta directiva, lo que hace al sitio susceptible a ataques de clickjacking donde un atacante puede camuflar la interfaz.

[MEDIUM] Rutas administrativas expuestas: Los endpoints /administrator/ y /user/login son accesibles públicamente, facilitando ataques de fuerza bruta.

[MEDIUM] X-Content-Type-Options: Al no estar presente, el navegador podría procesar archivos con tipos MIME incorrectos, permitiendo la ejecución de malware.

[MEDIUM] Referrer-Policy: La falta de control sobre la información de procedencia puede filtrar datos sensibles de la navegación a terceros sitios.

[MEDIUM] Permissions-Policy: No se restringen las capacidades del navegador, dejando abiertas APIs como la cámara o el micrófono ante posibles exploits.

[LOW] Cabecera Server expuesta: Se revela el uso de Microsoft-IIS/10.0, lo cual otorga información específica al atacante sobre la tecnología del servidor.

[LOW] Cabecera X-Powered-By expuesta: Se confirma el uso del framework ASP.NET, permitiendo buscar vulnerabilidades conocidas para esa versión específica.

[LOW] Ausencia de robots.txt y sitemap.xml: El servidor devuelve un error 404 para estos archivos, afectando negativamente al rastreo y la estructura de seguridad.