Media
Cookies con atributos incompletos en hosts de Colsubsidio
Categoría
Headers de seguridad
Estado
ActivoConfianza
verified
Observado
2026-05-02
Resumen
salud, auth y ayuda de Colsubsidio siguen mostrando cookies sin Secure y/o SameSite; www/apex no se incluyen en el alcance vigente.
Por qué importa
Sin Secure las cookies viajan en HTTP plano si HSTS no aplica. Sin SameSite quedan expuestas a CSRF.
Trazabilidad
Primera aparición
2026-05-02
Revisión
2026-06-28
Publicación
2026-06-28
Solución
—
Primera aparicion conocida en findings.json2026-05-02
Revision: promote2026-06-28
Publicado como hallazgo activo2026-06-28
Verificacion profunda confirma senal vigente para configuracion_headers en mail.colsubsidio.com, educacion.colsubsidio.com, autodiscover.colsubsidio.com, www.colsubsidio.com, salud.colsubsidio.com; se registra en f-cc-colsubsidio-05 sin crear un nuevo hallazgo.2026-07-05
Verificacion profunda confirma senal vigente para configuracion_headers en mail.colsubsidio.com, educacion.colsubsidio.com, autodiscover.colsubsidio.com, www.colsubsidio.com, salud.colsubsidio.com; se registra en f-cc-colsubsidio-05 sin crear un nuevo hallazgo.2026-07-05
Verificacion profunda confirma senal vigente para configuracion_headers en mail.colsubsidio.com, educacion.colsubsidio.com, autodiscover.colsubsidio.com, www.colsubsidio.com, salud.colsubsidio.com; se registra en f-cc-colsubsidio-05 sin crear un nuevo hallazgo.2026-07-05
Cómo mitigar
- •Habilitar HSTS: `Strict-Transport-Security: max-age=31536000; includeSubDomains; preload`.
- •CSP estricto: `Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'; ...`.
- •X-Content-Type-Options: nosniff, X-Frame-Options: DENY (o CSP frame-ancestors), Referrer-Policy: strict-origin-when-cross-origin.