Seguridad de demo.testfire.net

[CRITICAL] Certificado SSL no válido: El certificado SSL ha expirado hace 19 días, lo que impide establecer conexiones cifradas confiables y genera alertas de seguridad en los navegadores.

[HIGH] Ausencia de redirección HTTPS: El sitio permite conexiones a través de HTTP sin redirigir al protocolo seguro, facilitando ataques de hombre en el medio (MitM).

[HIGH] Falta de Content-Security-Policy (CSP): El sitio carece de una política de seguridad de contenido, lo que lo hace vulnerable a ataques de inyección como Cross-Site Scripting (XSS).

[HIGH] Falta de X-Frame-Options: La ausencia de esta cabecera permite que el sitio sea embebido en frames de dominios externos, facilitando ataques de clickjacking.

[HIGH] Falta de Strict-Transport-Security (HSTS): No se fuerza el uso de HTTPS, permitiendo que las comunicaciones puedan ser degradadas a protocolos no cifrados.

[HIGH] Cookie de sesión insegura (JSESSIONID): La cookie carece del flag Secure, lo que significa que el identificador de sesión puede ser transmitido a través de conexiones HTTP no cifradas.

[MEDIUM] Vulnerabilidad a CSRF en Cookies: La cookie JSESSIONID no implementa el atributo SameSite, permitiendo que un atacante realice peticiones no autorizadas en nombre del usuario.

[MEDIUM] Falta de X-Content-Type-Options: El servidor no previene el MIME-type sniffing, lo que podría permitir al navegador interpretar archivos de forma maliciosa.

[MEDIUM] Falta de Referrer-Policy: No existe control sobre la información de referencia que se envía al navegar hacia otros sitios, comprometiendo la privacidad de los usuarios.

[MEDIUM] Puerto 8080 expuesto: Se detectó el puerto 8080 abierto, el cual suele ser utilizado para servicios de administración o proxies que aumentan la superficie de ataque.

[LOW] Cabecera Server expuesta: Se revela el uso de Apache-Coyote/1.1, información técnica que ayuda a potenciales atacantes a buscar exploits específicos para esa tecnología.

[LOW] Ausencia de archivos de rastreo: No se encontraron los archivos robots.txt ni sitemap.xml, lo que indica una falta de configuración básica en la gestión de contenidos y visibilidad del sitio.