Seguridad de redprofesional.juntadeandalucia.es

[HIGH] Content-Security-Policy: Falta esta cabecera esencial que previene ataques de ejecución de scripts no autorizados (XSS) e inyección de datos.

[HIGH] Strict-Transport-Security: La ausencia de HSTS impide que el navegador fuerce siempre una conexión cifrada, permitiendo ataques de degradación de SSL.

[HIGH] Cookie Elgg (HttpOnly): La cookie de sesión no tiene el flag HttpOnly, lo que permite que sea robada mediante scripts maliciosos en el navegador.

[HIGH] Cookie Elgg (Secure): Falta el flag Secure, lo que significa que la cookie de sesión podría transmitirse a través de conexiones HTTP no cifradas.

[MEDIUM] X-Content-Type-Options: Al no estar presente, el servidor no evita que el navegador realice "MIME-sniffing", lo que puede derivar en la ejecución de archivos maliciosos.

[MEDIUM] Referrer-Policy: No existe una política definida para controlar cuánta información de referencia se envía a otros sitios web al navegar.

[MEDIUM] Permissions-Policy: No se han restringido las APIs del navegador, dejando expuestas funciones como la cámara, el micrófono o la geolocalización.

[MEDIUM] Cookie Elgg (SameSite): La ausencia de este atributo hace que el sitio sea vulnerable a ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] Archivo /readme.html y /README.txt: Estos archivos son accesibles públicamente y pueden revelar detalles técnicos o versiones del software base.

[MEDIUM] Robots.txt (Bloqueo total): El archivo robots.txt está configurado para bloquear todo el sitio (Disallow: /), lo que puede afectar la visibilidad y sugerir una configuración restrictiva mal aplicada.

[LOW] Server header expuesto: El servidor revela que utiliza Apache/2.2.15 (Red Hat), una versión antigua que facilita a los atacantes encontrar exploits específicos.

[LOW] X-Powered-By expuesto: La cabecera revela el uso de PHP/7.0.33, exponiendo el lenguaje de programación y su versión exacta.