Migracion Colombia
Rama Ejecutiva · Sector relaciones_exteriores · Unidad administrativa especial
Riesgo alto. Se identificaron 3 hallazgos críticos. Acción recomendada: publicar registros DMARC con política reject, habilitar HSTS y completar el set de headers de seguridad.
Hallazgos (4)
Servidor catch-all en 1 host(s) — observabilidad reducida
AltaEl portal en migracioncolombia.gov.co retorna HTTP 200 con la misma página para múltiples rutas inexistentes (paths sensibles como /.env, /web.config.bak, /aws.json devuelven el mismo HTML que /). Comportamiento típico de SPAs/CMS sin handler 404 explícito.
Catch-all 200 (en vez de 404) impide a herramientas de auditoría externas distinguir entre rutas reales y rutas inexistentes. Crea ruido para defenders y oculta exposiciones reales bajo un mar de 'falsos 200'. Buena práctica: configurar handler 404 explícito que retorne código 4xx para rutas no mapeadas.
DNSSEC ausente en migracioncolombia.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
SAN list extenso en cert de migracioncolombia.gov.co (100 dominios)
MediaEl cert lista 100 dominios en SAN. Sample: caramanta-antioquia.gov.co, asamblea-meta.gov.co, carcasi-santander.gov.co, carmendecarupa-cundinamarca.gov.co, carolinadelprincipe-antioquia.gov.co.
Un SAN extenso publica todos los servicios cubiertos por el cert. Útil para enumeración: un atacante obtiene el inventario de subservicios sin escanear DNS.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
Activos públicos (1)
migracioncolombia.gov.co
portal principal
Observado: 2026-04-03