Media
CRA: CSP ausente y X-Frame-Options obsoleto
Categoría
Headers de seguridad
Estado
ActivoConfianza
medium
Observado
2026-06-27
Resumen
cra.gov.co mantiene bajo endurecimiento de navegador: no publica Content-Security-Policy, Referrer-Policy, Permissions-Policy, HSTS ni COOP; además X-Frame-Options usa ALLOW-FROM http://192.168.100.24/, directiva obsoleta que filtra un origen interno.
Por qué importa
La ausencia de CSP y políticas modernas reduce defensas contra inyección y fuga de contexto. Un X-Frame-Options obsoleto con una IP interna sugiere configuración heredada y expone detalles de arquitectura.
Evidencia (URL observada)
http://192.168.100.24/Verificable con `curl -I` o navegador. La metodología es 100% pasiva — solo respuestas HTTP públicas a GETs estándar.
Trazabilidad
Primera aparición
2026-06-27
Revisión
2026-06-27
Publicación
2026-06-27
Solución
—
Primera aparicion conocida en findings.json2026-06-27
Revision: promote2026-06-27
Publicado como hallazgo activo2026-06-27
Cómo mitigar
- •Habilitar HSTS: `Strict-Transport-Security: max-age=31536000; includeSubDomains; preload`.
- •CSP estricto: `Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'; ...`.
- •X-Content-Type-Options: nosniff, X-Frame-Options: DENY (o CSP frame-ancestors), Referrer-Policy: strict-origin-when-cross-origin.