Seguridad de up.ac.pa

[HIGH] Content-Security-Policy: Falta esta cabecera esencial, lo que deja el sitio vulnerable a ataques de inyección de contenido y XSS.

[HIGH] Strict-Transport-Security: La ausencia de HSTS impide que el navegador fuerce conexiones seguras, permitiendo posibles degradaciones a HTTP.

[HIGH] Cookie insegura (cookiesession1): El flag Secure no está configurado, permitiendo que la cookie se transmita por canales no cifrados.

[MEDIUM] Cookie sin atributo SameSite: La cookie cookiesession1 carece de protección contra ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] Contenido Mixto: Se identificaron 11 recursos cargados mediante HTTP en una página protegida por HTTPS, lo que debilita la seguridad global.

[MEDIUM] Referrer-Policy y Permissions-Policy: La ausencia de estas cabeceras expone información de navegación y no restringe el acceso a APIs sensibles del navegador.

[MEDIUM] Archivo informativo expuesto: El archivo /README.txt es accesible públicamente, lo que facilita a atacantes obtener detalles técnicos sobre la instalación de Drupal.

[LOW] Exposición de tecnología en cabeceras: El servidor revela versiones exactas de Apache, PHP y OpenSSL, facilitando la búsqueda de exploits específicos.

[LOW] Divulgación de rutas en robots.txt: Se referencian directorios como admin y config, exponiendo posibles puntos de entrada sensibles para el reconocimiento.