Adecuado

Superintendencia de Transporte

Rama Ejecutiva · Sector transporte · Superintendencia

Resumen ejecutivoRiesgo BAJO

Riesgo bajo aparente. No se detectaron exposiciones críticas en observación pasiva. La entidad mantiene una postura defensiva razonable. Mantener monitoreo y completar implementación de buenas prácticas básicas (security.txt, DMARC, headers).

Total: 8Medias: 5

Cobertura100

Postura de seguridad85

Divulgación responsable0

Consistencia operativa75

Hallazgos (5)

Certificado wildcard cubre 1 dominios en supertransporte.gov.co

Media

Wildcards en SAN: *.supertransporte.gov.co. Total SAN: 2.

Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.

DNSSEC ausente en supertransporte.gov.co

Media

No hay registro DS en zona padre.

Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.

83 portales cargan scripts externos sin verificacion de integridad

Media

83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.

Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.

SuperTransporte rastrea ciudadanos con servicios de rastreo

Media

El portal de Superintendencia de Transporte carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.

Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Datos de empresas de transporte y seguridad vial. Poblacion afectada: empresas y usuarios de transporte.

XML-RPC habilitado en Superintendencia de Transporte

Media

El endpoint xmlrpc.php esta habilitado en Superintendencia de Transporte. Puede usarse para ataques de fuerza bruta amplificados.

XML-RPC permite intentos de autenticacion masivos en una sola peticion, facilitando ataques de fuerza bruta.

Activos públicos (1)

supertransporte.gov.co

portal principal

5/8

HTTPS

Certificado

HSTS

CSP

X-Frame-Options

X-Content-Type

Referrer-Policy

security.txt

Observado: 2026-04-03