Estado Seguropor Cristian Espinal Maya
Ver hallazgos
Postura adecuada

Alcaldia Mayor de Cartagena de Indias

Rama Ejecutiva · Sector territorial · Otra entidad

ResumenRiesgo ALTO

Alcaldia Cartagena presenta riesgo alto: tiene 25 hallazgos activos publicados, de los cuales 8 requieren atención prioritaria (2 críticos y 6 altos). La prioridad es restringir accesos o configuraciones visibles públicamente y validar que no queden servicios sensibles abiertos sin control. Los temas que más inciden son exposición pública de servicios, capacidad de recibir reportes de seguridad y tecnología vulnerable o fuera de soporte.

Siguiente paso: asignar responsable, fecha de corrección y evidencia de cierre; si un riesgo no se corrige, aceptarlo formalmente con dueño y fecha de revisión.

Descripción técnica

Se registran 25 hallazgos activos publicados: 2 críticos, 6 altos, 16 medios y 1 informativo.

Señales técnicas principales: Cluster interno (kc/kf/ee + VPN principal) publicado en DNS público: kc.cartagena.gov.co, kf.cartagena.gov.co, ee.cartagena.gov.co y vpn.cartagena.gov.co son alcanzables por nombre desde cualquier internet, aunque sus HTTPS hacen timeout. Ausencia total de canal de divulgacion responsable: Ninguno de los 13 subdominios alive publica /.well-known/security.txt (RFC 9116). Hostname VPN de desarrollo enumerable en DNS público: vpn.dev.cartagena.gov.co conserva resolucion DNS publica hacia infraestructura AWS. La revision pasiva actual no confirma portal VPN activo; se publica como exposicion de hostname sensible de desarrollo, no como...

Focos técnicos dominantes: subdominios, APIs o paneles expuestos; canal de reporte de vulnerabilidades; y dependencias vulnerables.

Publicados: 25Críticos: 2Altos: 6Medios: 16
Cobertura100
Postura de seguridad80
Divulgación responsable0
Consistencia operativa100

Hallazgos (25)

Cluster interno (kc/kf/ee + VPN principal) publicado en DNS publico

Critica

kc.cartagena.gov.co, kf.cartagena.gov.co, ee.cartagena.gov.co y vpn.cartagena.gov.co son alcanzables por nombre desde cualquier internet, aunque sus HTTPS hacen timeout.

Los nombres de los sistemas internos en DNS publico permiten a un atacante con IA inventariarlos en segundos. Bruteforce trivial los descubre incluso si no estan en CT logs.

Ausencia total de canal de divulgacion responsable

Critica

Ninguno de los 13 subdominios alive publica /.well-known/security.txt (RFC 9116).

Un investigador que descubra una vulnerabilidad no tiene canal estandarizado. La crisis va a prensa antes que a la Alcaldia.

Sin registros CAA --- cualquier CA puede emitir certificados

Alta

dig CAA cartagena.gov.co retorna vacio. Cualquier autoridad certificadora publica puede emitir certificados a nombre del dominio sin restriccion.

Combinado con monitoreo CT incompleto, un atacante puede generar certificados validos para spoofing sin que la Alcaldia lo detecte automaticamente.

DMARC en modo permisivo (quarantine en lugar de reject)

Alta

_dmarc.cartagena.gov.co publica v=DMARC1; p=quarantine con rua/ruf habilitados, pero sin rechazo activo de correos no autenticados.

Un atacante puede suplantar @cartagena.gov.co contra ciudadanos, proveedores y entes territoriales. Los correos van a spam pero no son rechazados.

Hostname VPN de desarrollo enumerable en DNS publico

Alta

vpn.dev.cartagena.gov.co conserva resolucion DNS publica hacia infraestructura AWS. La revision pasiva actual no confirma portal VPN activo; se publica como exposicion de hostname sensible de desarrollo, no como servicio VPN accesible.

Nombrar y publicar activos de desarrollo reduce el esfuerzo de reconocimiento externo y puede revelar infraestructura que deberia estar inventariada, protegida o retirada si ya no se usa.

Datos del portal hospedados en CDN extranjero (Cloudflare US)

Alta

Apex y la mayoria de subdominios resuelven a 104.18.20.16 (Cloudflare AS13335, San Francisco, EE.UU.). vpn.dev.* esta en AWS us-east-1.

Ley 1581/2012 art. 26 exige consentimiento o nivel de proteccion adecuado para transferencia internacional. EE.UU. no esta en la lista de paises adecuados de la SIC sin clausulas contractuales tipo.

Headers exponen version exacta de PHP y Drupal

Alta

Cada respuesta del portal incluye X-Powered-By: PHP/8.3.30 y X-Generator: Drupal 10, ademas de SPRequestDuration y X-Drupal-Cache (telemetria interna).

Cada header acelera la explotacion de vulnerabilidades de version especifica. Buena practica: ocultar Server, X-Powered-By y X-Generator en respuestas externas.

Alcaldia Cartagena: Dependencias JavaScript vulnerables

Alta

La portada publica carga una version de jQuery afectada por CVE conocidas; la verificacion se limita a recursos publicos.

Dependencias cliente vulnerables pueden habilitar ataques de inyeccion o manipulacion si la aplicacion usa patrones afectados.

Certificado wildcard cubre 1 dominios en cartagena.gov.co

Media

Wildcards en SAN: *.cartagena.gov.co. Total SAN: 3.

Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.

DNSSEC ausente en cartagena.gov.co

Media

No hay registro DS en zona padre.

Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.

DNS de cartagena.gov.co totalmente fuera de Colombia

Media

NS records: asa.ns.cloudflare.com, hugh.ns.cloudflare.com

Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.

cluster.cartagena.gov.co en estado de mantenimiento prolongado

Media

cluster.cartagena.gov.co retorna 503 con titulo "Sitio desconectado en mantenimiento" sin fecha de retorno.

Aplicacion huerfana en estado intermedio --- consume superficie expuesta y certificado emitido sin proposito operativo claro.

volta.cartagena.gov.co activo sin contenido real (404)

Media

volta.cartagena.gov.co resuelve y responde 404 desde Cloudflare. Subdominio activo sin proposito visible.

Candidato a decomisionamiento. Cualquier subdominio con certificado y sin contenido es deuda de superficie.

VPN principal alcanzable solo por nombre, no por HTTPS

Media

vpn.cartagena.gov.co (190.71.138.129, IP nacional) tiene FQDN publico pero HTTPS hace timeout --- exposicion simbolica al inventario.

El nombre del recurso esta publicado en DNS aunque el servicio este restringido por IP. Bruteforce de subdominios lo encuentra trivialmente.

robots.txt revela 3 ruta(s) sensibles en cartagena.gov.co

Media

Disallow/Allow incluye: /composer/Template/README.txt, /admin/, /index.php/admin/. robots.txt es publico — los crawlers respetan, los atacantes lo usan como mapa.

robots.txt no impide acceso, solo solicita ignorar a crawlers benignos. Listar paths internos/admin alli es un atajo para enumerar superficie sensible.

Headers exponen telemetria interna del CMS

Media

X-Drupal-Cache, X-Drupal-Dynamic-Cache (UNCACHEABLE) y SPRequestDuration son visibles en cada respuesta.

La telemetria interna del CMS no debe estar accesible externamente --- facilita identificar paginas con cacheo deficiente para amplificar ataques.

Ruta /modules/README.txt listada en Disallow es accesible publicamente

Media

GET https://cartagena.gov.co/modules/README.txt retorna 200.

robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.

Ruta /sites/README.txt listada en Disallow es accesible publicamente

Media

GET https://cartagena.gov.co/sites/README.txt retorna 200.

robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.

Ruta /README.md listada en Disallow es accesible publicamente

Media

GET https://cartagena.gov.co/README.md retorna 200.

robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.

Ruta /filter/tips listada en Disallow es accesible publicamente

Media

GET https://cartagena.gov.co/filter/tips retorna 200.

robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.

Ruta /themes/README.txt listada en Disallow es accesible publicamente

Media

GET https://cartagena.gov.co/themes/README.txt retorna 200.

robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.

Drupal CHANGELOG.txt accesible en cartagena.gov.co

Media

GET https://cartagena.gov.co/core/CHANGELOG.txt entrega historial de versiones Drupal.

El CHANGELOG revela versión exacta de Drupal y patches aplicados — facilita matching con CVEs publicadas. Recomendación: bloquear o eliminar de raíz web.

Alcaldia Cartagena: Scripts externos sin SRI

Media

Scripts de terceros sin Subresource Integrity siguen presentes en 1 host(s): cartagena.gov.co.

Scripts de terceros sin Subresource Integrity pueden ejecutar codigo modificado si el proveedor o CDN se compromete.

Alcaldia Cartagena: Terceros de analitica/rastreo

Media

La pagina sigue cargando terceros de analitica/rastreo en 1 host(s): cartagena.gov.co.

Terceros de analitica o rastreo en portales publicos requieren base legal, minimizacion y controles de consentimiento.

Arquitectura distribuida sin gobierno unico

Info

superlideres.* en Vercel (185.158.133.1), apex en Cloudflare US, vpn.dev.* en AWS US, cluster local en 190.71.138.197 --- multiples proveedores sin gobierno aparente.

La heterogeneidad operativa multiplica los puntos de falla y dificulta la correlacion de eventos de seguridad. Sin gobierno unico, cada proveedor establece su propio estandar.

Soluciones recomendadas

Qué necesita Alcaldia Cartagena

Acciones derivadas directamente de los hallazgos observados en esta entidad.

Inmediatas

Cifrado obligatorio en todos los portales

  • Activar HTTPS correctamente en todos los portales y subdominios.
  • Corregir certificados vencidos o mal configurados.
  • Habilitar HSTS para obligar conexiones seguras.
  • Revisar que no haya contenido mixto cargando por HTTP.

Cierre de subdominios expuestos

  • Retirar de DNS público ambientes como dev, intranet, apps, digiturno o pqrs si no deben ser públicos.
  • Mover intranets y ambientes internos detrás de VPN.
  • Exigir autenticación fuerte para cualquier sistema administrativo.

Protección contra suplantación de correo

  • Configurar SPF, DKIM y DMARC.
  • Llevar DMARC progresivamente a política estricta: reject.
  • Monitorear reportes de suplantación.
  • Bloquear dominios similares usados para phishing.

Headers de seguridad

  • Activar Content-Security-Policy.
  • Activar X-Frame-Options o frame-ancestors.
  • Activar X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
  • Eliminar headers que revelan tecnología, como X-Powered-By.

Mantenimiento técnico

Actualizar software obsoleto

  • Migrar PHP 5 y PHP 7.4 a versiones soportadas.
  • Actualizar Joomla, plugins, plantillas y extensiones.
  • Retirar librerías JavaScript vulnerables.
  • Establecer ventanas mensuales de parcheo.

Gestión de vulnerabilidades

  • Escanear periódicamente dominios y subdominios.
  • Clasificar hallazgos por severidad.
  • Asignar responsables y fechas de cierre.
  • Verificar que cada corrección haya sido aplicada.

Inventario de activos digitales

  • Mantener un mapa actualizado de dominios, subdominios, servidores, APIs y proveedores.
  • Identificar qué es público, interno, tercerizado o abandonado.
  • Dar de baja activos huérfanos o sin dueño claro.

Protección de APIs

  • Exigir autenticación.
  • Implementar rate limiting.
  • Validar permisos por usuario y rol.
  • Evitar que las APIs revelen datos personales, errores internos o estructuras del sistema.

Control de certificados

  • Publicar registros CAA para definir qué autoridades pueden emitir certificados del dominio.
  • Monitorear Certificate Transparency.
  • Renovar certificados automáticamente.
  • Detectar certificados sospechosos o no autorizados.

Canal de divulgación responsable

  • Publicar security.txt (RFC 9116).
  • Definir un correo oficial para reportes de seguridad.
  • Crear un procedimiento interno para recibir, validar y corregir vulnerabilidades.

Gestión de datos personales

  • Revisar formularios, PQRS, trámites y APIs que procesan datos ciudadanos.
  • Minimizar los datos expuestos.
  • Cifrar datos sensibles en tránsito y en reposo.
  • Aplicar controles de acceso y trazabilidad.

Hardening institucional

  • Configuraciones seguras por defecto y plantillas web endurecidas.
  • Revisión de seguridad antes de publicar nuevos portales.
  • Separación clara entre producción, pruebas, desarrollo e intranet.

Cómo sostenerlo

  • Política de mínimos de seguridad web. Estándar obligatorio para todos los portales (HTTPS, HSTS, DMARC, headers, backups, logs, actualizaciones, monitoreo), exigible a proveedores.
  • Cláusulas de ciberseguridad en contratos. Obligar mínimos técnicos, SLA de corrección por severidad, evidencias de parcheo y derecho de auditoría.
  • Monitoreo continuo. No una revisión anual: alertar ante cada nuevo subdominio, certificado, API o tecnología vulnerable, y medir la postura por entidad y proveedor.
  • Modelo de remediación coordinada. Cuando un hallazgo se repite en muchas entidades, corregir la causa raíz (proveedor, plantilla o configuración común) para cerrar el riesgo en bloque.
  • Indicadores para la alta dirección. Tiempo promedio de corrección, hallazgos críticos abiertos, % de entidades con DMARC y HSTS, activos expuestos sin responsable, riesgo por proveedor.
  • EstadoSeguro no solo detecta vulnerabilidades; permite priorizar soluciones.
  • No reemplaza a su equipo de TI: le da visibilidad, evidencia y orden.
  • No es una auditoría anual: es monitoreo continuo de la superficie pública.
  • No busca señalar culpables: busca cerrar brechas antes de que se conviertan en incidentes.
  • Convierte el riesgo técnico en decisiones ejecutivas: qué corregir, quién responde y qué hacer primero.
Solicitar diagnóstico

Cronología de hallazgos

2026-04-28 → 2026-06-27

Nuevos

25

Activos

25

Pendientes

0

Solucionados

0

Alcaldia Cartagena: Dependencias JavaScript vulnerables

Apareció: 2026-06-27 · Revisado: 2026-06-27

Activo

Alcaldia Cartagena: Scripts externos sin SRI

Apareció: 2026-06-26 · Revisado: 2026-06-26

Activo

Alcaldia Cartagena: Terceros de analitica/rastreo

Apareció: 2026-06-26 · Revisado: 2026-06-26

Activo

Drupal CHANGELOG.txt accesible en cartagena.gov.co

Apareció: 2026-05-03 · Revisado: 2026-05-17

Activo

robots.txt revela 3 ruta(s) sensibles en cartagena.gov.co

Apareció: 2026-04-30 · Revisado: 2026-05-17

Activo

Certificado wildcard cubre 1 dominios en cartagena.gov.co

Apareció: 2026-04-30 · Revisado: 2026-06-27

Activo

DNSSEC ausente en cartagena.gov.co

Apareció: 2026-04-30 · Revisado: 2026-06-27

Activo

DNS de cartagena.gov.co totalmente fuera de Colombia

Apareció: 2026-04-30 · Revisado: 2026-06-27

Activo

Ruta /modules/README.txt listada en Disallow es accesible publicamente

Apareció: 2026-04-30 · Revisado: 2026-05-17

Activo

Ruta /sites/README.txt listada en Disallow es accesible publicamente

Apareció: 2026-04-30 · Revisado: 2026-05-17

Activo

Ruta /README.md listada en Disallow es accesible publicamente

Apareció: 2026-04-30 · Revisado: 2026-05-17

Activo

Ruta /filter/tips listada en Disallow es accesible publicamente

Apareció: 2026-04-30 · Revisado: 2026-05-17

Activo

+ 13 eventos adicionales en el API de cronología.

Activos públicos (13)

ee.cartagena.gov.co

aplicacion interna

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Targeted passive refresh for distrito-cartagena. Server: unknown.

Observado: 2026-06-27

vpn.cartagena.gov.co

vpn

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Targeted passive refresh for distrito-cartagena. Server: unknown.

Observado: 2026-06-27

www.cartagena.gov.co

portal principal

5/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Server: cloudflare

Tech: Cloudflare, Drupal (body), Drupal CMS. Title: Inicio | Alcaldía Mayor de Cartagena de Indias

Observado: 2026-04-28

kf.cartagena.gov.co

aplicacion interna

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Targeted passive refresh for distrito-cartagena. Server: unknown.

Observado: 2026-06-27

superlideres.cartagena.gov.co

aplicacion

3/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Server: cloudflare

Targeted passive refresh for distrito-cartagena. Server: cloudflare.

Observado: 2026-06-27

kc.cartagena.gov.co

aplicacion interna

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Targeted passive refresh for distrito-cartagena. Server: unknown.

Observado: 2026-06-27

cartagena.gov.co

portal principal

5/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Server: cloudflare

Targeted passive refresh for distrito-cartagena. Server: cloudflare.

Observado: 2026-06-27

autodiscover.cartagena.gov.co

email autodiscover

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Targeted passive refresh for distrito-cartagena. Server: unknown.

Observado: 2026-06-27

volta.cartagena.gov.co

subdominio huerfano

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Targeted passive refresh for distrito-cartagena. Server: unknown.

Observado: 2026-06-27

vpn.dev.cartagena.gov.co

vpn

4/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: no fingerprint. Title: Pritunl

Observado: 2026-04-28

cluster.cartagena.gov.co

aplicacion

6/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Server: cloudflare

Targeted passive refresh for distrito-cartagena. Server: cloudflare.

Observado: 2026-06-27

app.cartagena.gov.co

aplicacion

6/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Server: cloudflare

Targeted passive refresh for distrito-cartagena. Server: cloudflare.

Observado: 2026-06-27

tramites.cartagena.gov.co

portal tramites

5/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Server: cloudflare

Tech: Cloudflare, Drupal (body), Drupal CMS. Title: Trámites y servicios | Alcaldía Mayor de Cartagena de Indias

Observado: 2026-04-28