# Riesgos y Prioridades

## P0

1. `admin/gravimex.zip` en webroot: potencial exposicion completa del proyecto si es descargable.

## P1

2. KCFinder habilitado por sesion y apuntando a `test/upload`: revisar autenticacion, extensiones y ejecucion PHP.
3. `vtigercron.php` publico bajo webroot: restringir por servidor o ejecutar solo CLI.
4. Directorios residuales `test/`, `migrate/`, `pkg/` en produccion: superficie innecesaria.
5. WSAPP/webservices con appkeys y sync bidireccional: revisar rotacion, permisos y logging.

## P2

- Librerias legacy embebidas fuera de Composer.
- SQL concatenado en modulos legacy.
- Paquetes zip/tar expuestos para fingerprinting.
- OAuth/SMTP/SMS/PBX secrets gestionados en DB/config: revisar cifrado y permisos.
- Logistica AI: proteger `openai_api_key`, prompts y logs.

## Prioridad recomendada

1. Confirmar por HTTP que `gravimex.zip` y archivos comprimidos no son descargables; moverlos fuera de webroot.
2. Bloquear `test/`, `migrate/`, `pkg/`, `packages/` si no son necesarios publicamente.
3. Revisar KCFinder/upload y deshabilitar si no es imprescindible.
4. Restringir cron a CLI.
5. Revisar WSAPP y endpoints publicos con pruebas controladas.