Postura crítica

Gobernacion del Putumayo

Rama Ejecutiva · Sector territorial · Gobernación

ResumenRiesgo ALTO

Gob. Putumayo presenta riesgo alto: tiene 11 hallazgos activos publicados, de los cuales 6 requieren atención prioritaria (3 críticos y 3 altos). Además, 3 hallazgos están pendientes de revisión antes de decidir si se publica o se descarta. La prioridad es actualizar o aislar la tecnología vulnerable y confirmar el cierre con una verificación posterior. Los temas que más inciden son posibles secretos o credenciales expuestos, tecnología vulnerable o fuera de soporte y suplantación institucional.

Siguiente paso: asignar responsable, fecha de corrección y evidencia de cierre; si un riesgo no se corrige, aceptarlo formalmente con dueño y fecha de revisión.

Descripción técnica

Se registran 11 hallazgos activos publicados: 3 críticos, 3 altos y 5 medios. Hay 3 hallazgos pendientes de revisión que todavía no deben tratarse como publicados.

Señales técnicas principales: Archivo de configuración .env accesible en mail.putumayo.gov.co: GET https://mail.putumayo.gov.co/.env retorna HTTP 200 con sintaxis de variables de entorno. Valores omitidos por seguridad. Archivo de configuración .env accesible en putumayo.gov.co: GET https://putumayo.gov.co/.env retorna HTTP 200 con sintaxis de variables de entorno. Valores omitidos por seguridad. Archivo de configuración .env accesible en www.putumayo.gov.co: GET https://www.putumayo.gov.co/.env retorna HTTP 200 con sintaxis de variables de entorno. Valores omitidos por seguridad.

Focos técnicos dominantes: posibles secretos o credenciales expuestos, dependencias vulnerables y autenticación de correo.

Publicados: 11Críticos: 3Altos: 3Medios: 5Pendientes: 3

Cobertura100

Postura de seguridad30

Divulgación responsable0

Consistencia operativa75

Hallazgos (11)

Archivo de configuracion .env accesible en mail.putumayo.gov.co

Critica

GET https://mail.putumayo.gov.co/.env retorna HTTP 200 con sintaxis de variables de entorno. Snippet: APP_NAME="Gobernación del Putumayo" APP_ENV=production APP_KEY=<redacted secret> APP_D.

Los archivos .env contienen credenciales de base de datos, API keys, tokens de servicios externos, secretos de firma. Su exposicion publica permite acceso directo a sistemas backend e impersonacion frente a APIs externas.

Archivo de configuracion .env accesible en putumayo.gov.co

Critica

GET https://putumayo.gov.co/.env retorna HTTP 200 con sintaxis de variables de entorno. Snippet: APP_NAME="Gobernación del Putumayo" APP_ENV=production APP_KEY=<redacted secret> APP_D.

Archivo de configuracion .env accesible en www.putumayo.gov.co

Critica

GET https://www.putumayo.gov.co/.env retorna HTTP 200 con sintaxis de variables de entorno. Snippet: APP_NAME="Gobernación del Putumayo" APP_ENV=production APP_KEY=<redacted secret> APP_D.

Manifest de dependencias accesible publicamente: /composer.lock

Alta

GET https://putumayo.gov.co/composer.lock retorna 200 con 4096 bytes.

El manifest revela librerias y versiones exactas. Un atacante consulta CVE database y construye exploit dirigido sin reconocimiento adicional.

Manifest de dependencias accesible publicamente: /package.json

Alta

GET https://putumayo.gov.co/package.json retorna 200 con 1107 bytes.

El manifest revela librerias y versiones exactas. Un atacante consulta CVE database y construye exploit dirigido sin reconocimiento adicional.

Gob. Putumayo: Dominio con riesgo de suplantacion por correo

Alta

Email spoofing risk is still visible for 1 domain(s): putumayo.gov.co.

SPF/DMARC debil permite suplantacion de correo institucional y fraude dirigido.

Referencias a localhost/IP privada en bundle del portal putumayo.gov.co

Media

URLs encontradas: http://localhost:8000, http://localhost:8000

Aunque localhost no es un riesgo directo en producción, indica build poco depurado — posible que otras strings sensibles también hayan quedado.

Sin canal estandar de divulgacion responsable

Media

Ninguno de los 7 subdominios alcanzables publica /.well-known/security.txt (RFC 9116).

Un investigador que descubra una vulnerabilidad no tiene canal estandarizado para reportar antes de publicar. Crisis va a prensa antes que a la entidad.

Cookies sin Secure o SameSite en 1 hosts

Media

Hosts afectados: webmail.putumayo.gov.co.

Sin Secure las cookies viajan en HTTP plano si HSTS no aplica. Sin SameSite quedan expuestas a CSRF.

Headers de seguridad insuficientes (0/8)

Media

Apex putumayo.gov.co solo presenta 0 de 8 headers de seguridad esperados (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, X-XSS-Protection, COOP).

Headers de seguridad activan protecciones del navegador del usuario contra inyeccion, clickjacking y mixed content. Bajos = exposicion al usuario final.

Gob. Putumayo: Scripts externos sin SRI

Media

Scripts de terceros sin Subresource Integrity siguen presentes en 2 host(s): mail.putumayo.gov.co, putumayo.gov.co.

Scripts de terceros sin Subresource Integrity pueden ejecutar codigo modificado si el proveedor o CDN se compromete.

Soluciones recomendadas

Qué necesita Gob. Putumayo

Acciones derivadas directamente de los hallazgos observados en esta entidad.

Inmediatas

Headers de seguridad

Activar Content-Security-Policy.
Activar X-Frame-Options o frame-ancestors.
Activar X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
Eliminar headers que revelan tecnología, como X-Powered-By.

Mantenimiento técnico

Actualizar software obsoleto

Migrar PHP 5 y PHP 7.4 a versiones soportadas.
Actualizar Joomla, plugins, plantillas y extensiones.
Retirar librerías JavaScript vulnerables.
Establecer ventanas mensuales de parcheo.

Gestión de vulnerabilidades

Escanear periódicamente dominios y subdominios.
Clasificar hallazgos por severidad.
Asignar responsables y fechas de cierre.
Verificar que cada corrección haya sido aplicada.

Protección de APIs

Exigir autenticación.
Implementar rate limiting.
Validar permisos por usuario y rol.
Evitar que las APIs revelen datos personales, errores internos o estructuras del sistema.

Canal de divulgación responsable

Publicar security.txt (RFC 9116).
Definir un correo oficial para reportes de seguridad.
Crear un procedimiento interno para recibir, validar y corregir vulnerabilidades.

Hardening institucional

Configuraciones seguras por defecto y plantillas web endurecidas.
Revisión de seguridad antes de publicar nuevos portales.
Separación clara entre producción, pruebas, desarrollo e intranet.

Cómo sostenerlo

Política de mínimos de seguridad web. Estándar obligatorio para todos los portales (HTTPS, HSTS, DMARC, headers, backups, logs, actualizaciones, monitoreo), exigible a proveedores.
Cláusulas de ciberseguridad en contratos. Obligar mínimos técnicos, SLA de corrección por severidad, evidencias de parcheo y derecho de auditoría.
Monitoreo continuo. No una revisión anual: alertar ante cada nuevo subdominio, certificado, API o tecnología vulnerable, y medir la postura por entidad y proveedor.
Modelo de remediación coordinada. Cuando un hallazgo se repite en muchas entidades, corregir la causa raíz (proveedor, plantilla o configuración común) para cerrar el riesgo en bloque.
Indicadores para la alta dirección. Tiempo promedio de corrección, hallazgos críticos abiertos, % de entidades con DMARC y HSTS, activos expuestos sin responsable, riesgo por proveedor.

EstadoSeguro no solo detecta vulnerabilidades; permite priorizar soluciones.
No reemplaza a su equipo de TI: le da visibilidad, evidencia y orden.
No es una auditoría anual: es monitoreo continuo de la superficie pública.
No busca señalar culpables: busca cerrar brechas antes de que se conviertan en incidentes.
Convierte el riesgo técnico en decisiones ejecutivas: qué corregir, quién responde y qué hacer primero.

Solicitar diagnóstico

Cronología de hallazgos

2026-04-30 → 2026-07-03

Nuevos

Activos

Pendientes

Solucionados

Gob. Putumayo: Dominio con riesgo de suplantacion por correo

Apareció: 2026-07-03 · Revisado: 2026-07-03

Activo

Gob. Putumayo: Scripts externos sin SRI

Apareció: 2026-07-03 · Revisado: 2026-07-03

Activo

Sin canal estandar de divulgacion responsable

Apareció: 2026-05-02 · Revisado: 2026-05-17

Activo

Cookies sin Secure o SameSite en 1 hosts

Apareció: 2026-05-02 · Revisado: 2026-05-17

Activo

Headers de seguridad insuficientes (0/8)

Apareció: 2026-05-02 · Revisado: 2026-05-17

Activo

Archivo de configuracion .env accesible en mail.putumayo.gov.co