Informe de ejemplo — CROX Sec (croxsec.surge.sh, datos reales)

1. Resumen ejecutivo

Este informe documenta una auditoría 100 % pasiva de la infraestructura que sirve este mismo sitio web. No se ha enviado ningún paquete intrusivo: solo fuentes públicas (DNS, CT logs, TLS handshake, respuestas HTTP de lectura).

Decisión deliberada del titular: publicar los hallazgos sobre nuestra propia superficie. Si un proveedor de seguridad no muestra su propio informe, sospecha de él. Aquí está el nuestro, con los fallos incluidos.

1hallazgo medio

1observación info

4puntos sólidos

0paquetes intrusivos

2. Alcance y metodología

Fase	Fuente	Intrusivo
Inventario de DNS	Registros A/NS/TXT/MX públicos	No
Observación TLS	Handshake TLS 1.3, cadena y caducidad	No
Cabeceras HTTP	Respuesta GET estándar	No
Exposiciones frecuentes	GET a rutas típicas (/.env, /.git, backups)	No (lectura)

3. Hallazgos

H-01

Ausencia de cabeceras de seguridad HTTP

Media

El servidor responde sin ninguna de las seis cabeceras de seguridad estándar. No permite mitigar clickjacking, MIME-sniffing ni forzar HTTPS desde el cliente.

evidencia — 2026-10-28T04:40ZGET / HTTP/2

$ curl -sI https://croxsec.surge.sh
HTTP/2 200
server: Surge
# strict-transport-security : AUSENTE
# content-security-policy   : AUSENTE
# x-frame-options           : AUSENTE
# x-content-type-options    : AUSENTE
# referrer-policy           : AUSENTE
# permissions-policy        : AUSENTE

Impacto: el sitio puede ser embebido en iframes maliciosos (clickjacking), el navegador puede interpretar tipos MIME de forma insegura, y no hay CSP que frene XSS en caso de contenido inyectado.

Remediación: en el propio hosting (Apache/nginx) o mediante meta-CSP como mitigación parcial. Configuración típica:

add_header Strict-Transport-Security "max-age=63072000" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "DENY" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Nota del titular: este hallazgo afecta a la copia alojada en surge.sh (hosting estático sin control de cabeceras). En la migración a croxsec.com (servidor propio, Apache) se aplica la remediación completa. Es exactamente el tipo de seguimiento que el Monitor de Postura detectaría al cambiar de infraestructura.

H-02

Sin registros de correo visibles (informativo)

Info

El subdominio surge.sh no publica registros MX/TXT/NS delegados. Esto es esperado en un dominio de terceros (surge.sh) y no constituye fallo. Se documenta porque en un dominio propio su ausencia sería un hallazgo real.

evidenciadig MX / TXT / NS

$ dig +short MX croxsec.surge.sh
(sin resultados — correcto para hosting estático de terceros)

4. Puntos sólidos verificados

TLS 1.3 activo con cifrado TLS_AES_256_GCM_SHA384, emisor Sectigo, caducidad 2026-12-16.
Sin exposiciones comunes: /.env, /.git/HEAD, /config.php, /backup.zip, /.htpasswd, /wp-config.php.bak → todos HTTP 404.
Sin software con versión visible que permita fingerprinting de CVEs (server: Surge, sin banner detallado).
Contenido íntegro: 19.734 bytes servidos consistentemente, sitemap.xml y robots.txt presentes.

5. Apéndice técnico

Parámetro	Valor observado
Dirección	139.59.195.30
TLS	TLSv1.3 / TLS_AES_256_GCM_SHA384
Emisor	Sectigo Limited
Caduca	2026-12-16
HSTS	ausente
CSP	ausente
X-Frame-Options	ausente
/.env · /.git · backups	404 en las 6 rutas probadas

🔎 Transparencia: este informe se generó con el mismo pipeline que usamos para clientes. Los comandos de cada evidencia son reproducibles por el lector en menos de un minuto.