Guía de vulnerabilidades de seguridad

Comprender y corregir las vulnerabilidades de seguridad web comunes detectadas por VitaPulse

Encabezados de seguridad HTTP

Los encabezados de seguridad instruyen a los navegadores para activar mecanismos de seguridad integrados, protegiendo a sus usuarios de ataques comunes.

Alto

Strict-Transport-Security (HSTS)

Obliga a los navegadores a conectarse a su sitio exclusivamente por HTTPS, previniendo ataques de degradación de protocolo y robo de cookies.

Alto

Content-Security-Policy (CSP)

Define qué fuentes de contenido pueden ser cargadas por el navegador, previniendo ataques de cross-site scripting (XSS) e inyección de datos.

Alto

X-XSS-Protection

Activa el filtro XSS integrado del navegador para detectar y bloquear ataques de cross-site scripting reflejado.

Medio

X-Content-Type-Options

Evita que los navegadores adivinen (MIME sniffing) el tipo de contenido de una respuesta, obligándolos a respetar el Content-Type declarado.

Medio

X-Frame-Options

Controla si su sitio puede ser incrustado en iframes, protegiendo contra ataques de clickjacking.

Bajo

Referrer-Policy

Controla cuánta información de referencia se envía al navegar desde su sitio a otro.

Bajo

Permissions-Policy

Controla qué funciones y APIs del navegador (cámara, micrófono, geolocalización, etc.) pueden ser utilizadas por su sitio y contenido incrustado.

Bajo

Cross-Origin-Opener-Policy (COOP)

Aísla su contexto de navegación de ventanas de origen cruzado, impidiendo que accedan a su objeto window.

Bajo

Cross-Origin-Resource-Policy (CORP)

Controla qué orígenes pueden cargar sus recursos (imágenes, scripts, etc.), previniendo lecturas no autorizadas de origen cruzado.

Bajo

Cross-Origin-Embedder-Policy (COEP)

Requiere que todos los recursos cargados por su página opten explícitamente por ser cargados desde origen cruzado, habilitando el aislamiento completo del sitio.

Certificado TLS / SSL

TLS (Transport Layer Security) cifra la conexión entre los usuarios y su servidor. Las configuraciones incorrectas de certificados y los protocolos obsoletos exponen su sitio a interceptación y robo de datos.

Alto

Protocolo TLS débil (TLS 1.0 / 1.1)

Su servidor soporta versiones obsoletas de TLS (1.0 o 1.1) que tienen debilidades criptográficas conocidas.

Alto

Algoritmo de firma de certificado débil

Su certificado SSL/TLS usa un algoritmo de firma débil (como SHA-1 con RSA PKCS#1) que es vulnerable a ataques de colisión.

Alto

Certificado SSL/TLS expirado

Su certificado SSL/TLS ha expirado o expirará dentro de 30 días.

Medio

Falta de Certificate Transparency

Su certificado SSL no incluye información de Certificate Transparency (CT), dificultando la detección de certificados emitidos incorrectamente.

Bajo

Sin Encrypted Client Hello (ECH)

Su servidor no soporta Encrypted Client Hello, lo que significa que el nombre de dominio (SNI) es visible durante el handshake TLS.

Auditorías de seguridad Lighthouse

Google Lighthouse realiza verificaciones de seguridad automatizadas que identifican configuraciones incorrectas comunes y prácticas inseguras en su sitio web.

Alto

Sitio no servido por HTTPS

Su sitio web es accesible por HTTP no cifrado, lo que significa que todos los datos entre los usuarios y su servidor se transmiten en texto plano.

Alto

Sin redirección HTTP a HTTPS

Su servidor no redirige las solicitudes HTTP a HTTPS, permitiendo que los usuarios accedan al sitio por una conexión insegura.

Alto

CSP no efectiva contra XSS

Su Content Security Policy falta o no previene eficazmente los ataques de cross-site scripting.

Medio

Sin política de Trusted Types

Su sitio no usa Trusted Types, una API del navegador que previene ataques de cross-site scripting basados en DOM.