Seguridad de presidencia.gob.pa

[HIGH] Certificado SSL/TLS con expiración inminente: El certificado expira en solo 5 días (2026-10-11), lo que provocará errores de conexión y pérdida de confianza del usuario.

[HIGH] Ausencia total de Cabeceras de Seguridad: El servidor no entrega ninguna de las 6 cabeceras básicas (CSP, X-Frame-Options, HSTS, etc.), facilitando ataques de XSS e inyección.

[HIGH] Inexistencia de Strict-Transport-Security (HSTS): No se fuerza el uso de HTTPS a nivel de navegador, permitiendo ataques de degradación de protocolo y robo de información.

[HIGH] Cookies de sesión sin flag HttpOnly: La cookie incap_ses_612_29617 es accesible mediante scripts, lo que permite el robo de sesiones a través de vulnerabilidades XSS.

[HIGH] Cookies de sesión sin flag Secure: Las cookies visid_incap y incap_ses se transmiten por canales no cifrados, exponiendo las credenciales de navegación en redes inseguras.

[MEDIUM] Falta de configuración SameSite en cookies: La ausencia de este atributo en todas las cookies detectadas hace que el sitio sea vulnerable a ataques de falsificación de peticiones (CSRF).

[MEDIUM] Exposición de archivos técnicos de infraestructura: Los archivos /readme.html y /README.txt son accesibles públicamente, pudiendo revelar información sensible sobre la plataforma.

[MEDIUM] Ausencia de X-Content-Type-Options: El servidor no previene el sniffing de tipos MIME, lo que podría permitir la ejecución de archivos maliciosos camuflados.

[MEDIUM] Falta de políticas de control (Referrer y Permissions): No se restringe la información de navegación compartida ni el acceso a periféricos del usuario desde el navegador.

[LOW] Inexistencia de archivos de control de rastreo: La falta de robots.txt y sitemap.xml indica una carencia en los estándares de organización y visibilidad web controlada.