Seguridad de pr-ciudadanos-sep2026-qa-func.itgcloud365.net

[HIGH] Content-Security-Policy: Falta esta cabecera indispensable para prevenir ataques de Cross-Site Scripting (XSS) e inyección de contenido.

[HIGH] X-Frame-Options: La ausencia de esta directiva permite que el sitio sea cargado en marcos externos, facilitando ataques de clickjacking.

[HIGH] Strict-Transport-Security: No está configurado, lo que impide que el navegador fuerce conexiones seguras y deja la sesión expuesta a ataques de degradación de protocolo.

[MEDIUM] X-Content-Type-Options: La falta de esta cabecera permite que el navegador intente adivinar el tipo de contenido, aumentando el riesgo de ejecución de scripts maliciosos.

[MEDIUM] Referrer-Policy: No existe control sobre la información de referencia enviada a terceros, lo que podría filtrar datos de navegación privados.

[MEDIUM] Permissions-Policy: No se restringen las capacidades del navegador, permitiendo potencialmente el acceso no autorizado a APIs sensibles como cámara o micrófono.

[LOW] Server header expuesto: El encabezado revela el uso de AmazonS3, proporcionando información técnica valiosa para un atacante en fase de reconocimiento.

[LOW] robots.txt y sitemap.xml: La ausencia de estos archivos y la respuesta de error 403 dificultan la gestión adecuada del rastreo por parte de buscadores.