Media
ICBF: endurecimiento web insuficiente
Categoría
Headers de seguridad
Estado
ActivoConfianza
high
Observado
2026-06-27
Resumen
La portada mantiene HSTS, X-Frame-Options y X-Content-Type-Options, pero omite CSP, Referrer-Policy, Permissions-Policy y COOP.
Por qué importa
Headers incompletos reducen defensa en profundidad frente a inyeccion, filtrado de referencias, abuso de capacidades del navegador y aislamiento de contexto.
Trazabilidad
Primera aparición
2026-06-27
Revisión
2026-06-27
Publicación
2026-06-27
Solución
—
Primera aparicion conocida en findings.json2026-06-27
Revision: promote2026-06-27
Publicado como hallazgo activo2026-06-27
Verificacion profunda confirma senal vigente para configuracion_headers en icbf.gov.co; se registra en candidate-icbf-configuracion_headers-2ffe5f3df4 sin crear un nuevo hallazgo.2026-06-30
Verificacion profunda confirma senal vigente para configuracion_headers en icbf.gov.co; se registra en candidate-icbf-configuracion_headers-2ffe5f3df4 sin crear un nuevo hallazgo.2026-07-05
Verificacion profunda confirma senal vigente para configuracion_headers en icbf.gov.co; se registra en candidate-icbf-configuracion_headers-2ffe5f3df4 sin crear un nuevo hallazgo.2026-07-05
Cómo mitigar
- •Habilitar HSTS: `Strict-Transport-Security: max-age=31536000; includeSubDomains; preload`.
- •CSP estricto: `Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'; ...`.
- •X-Content-Type-Options: nosniff, X-Frame-Options: DENY (o CSP frame-ancestors), Referrer-Policy: strict-origin-when-cross-origin.