Seguridad de prefieroacr.com

[HIGH] Content-Security-Policy: Falta esta cabecera que es vital para prevenir ataques de Cross-Site Scripting (XSS) e inyección de contenido malicioso.

[HIGH] X-Frame-Options: La ausencia de esta directiva permite que el sitio sea cargado en frames externos, facilitando ataques de clickjacking.

[HIGH] Strict-Transport-Security: No se ha configurado HSTS, lo que impide forzar conexiones HTTPS y deja la sesión expuesta a ataques de degradación de protocolo.

[MEDIUM] X-Content-Type-Options: Al no estar presente, el navegador podría realizar sniffing de tipos MIME, permitiendo la ejecución de archivos con contenido inesperado.

[MEDIUM] Referrer-Policy: No se controla la información de procedencia enviada en las peticiones, lo que puede comprometer la privacidad de la navegación.

[MEDIUM] Permissions-Policy: Falta la restricción de acceso a APIs del navegador, permitiendo potencialmente el uso no autorizado de funciones como la cámara o el micrófono.

[MEDIUM] Archivos técnicos expuestos: Los archivos /readme.html y /README.txt son accesibles públicamente, lo cual puede revelar detalles internos y versiones de la tecnología.

[MEDIUM] Rutas administrativas expuestas: Se detectó acceso público a los paneles de login /wp-login.php y /user/login, aumentando el riesgo de ataques de fuerza bruta.

[LOW] Cabecera Server expuesta: Se revela el uso de nginx/1.24.0 (Ubuntu), información que un atacante puede usar para buscar exploits específicos del servidor.

[LOW] Cabecera X-Powered-By expuesta: Se identifica el uso del framework Next.js, lo cual ayuda a perfilar la superficie de ataque tecnológica.

[LOW] Falta de robots.txt: La ausencia de este archivo genera una advertencia en la gestión de indexación y rastreo de directorios por motores de búsqueda.