Media
UPTC: Endurecimiento web insuficiente
Categoría
Headers de seguridad
Estado
ActivoConfianza
medium
Observado
2026-07-04
Resumen
El endurecimiento de headers sigue debil en 2 host(s): estadisticas.uptc.edu.co, pagos.uptc.edu.co. Controles ausentes: Content-Security-Policy, clickjacking protection, X-Content-Type-Options, Referrer-Policy.
Por qué importa
Headers de seguridad ausentes o permisivos reducen defensas del navegador contra inyeccion, clickjacking y filtrado de contexto.
Trazabilidad
Primera aparición
2026-07-04
Revisión
2026-07-04
Publicación
2026-07-04
Solución
—
Primera aparicion conocida en findings.json2026-07-04
Revision: promote2026-07-04
Publicado como hallazgo activo2026-07-04
Cómo mitigar
- •Habilitar HSTS: `Strict-Transport-Security: max-age=31536000; includeSubDomains; preload`.
- •CSP estricto: `Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'; ...`.
- •X-Content-Type-Options: nosniff, X-Frame-Options: DENY (o CSP frame-ancestors), Referrer-Policy: strict-origin-when-cross-origin.