# Riesgos Estructurales

| Riesgo | Severidad | Evidencia | Recomendacion |
|---|---|---|---|
| Backups/paquetes en webroot | Alta | `admin/gravimex.zip`, zips en `cache/` y `packages/` | Mover fuera de webroot o bloquear por servidor |
| Directorios de prueba en webroot | Media | `admin/test/` | Eliminar en despliegue o restringir acceso |
| Herramientas de migracion expuestas | Media | `admin/migrate/`, `pkg/bin/` | Mantener solo en entornos controlados |
| Librerias legacy embebidas | Media | `libraries/PHPExcel`, `google-api-php-client`, plugins jQuery antiguos | Revisar CVEs y plan de actualizacion |
| Duplicidad de librerias | Media | PHPMailer legacy + Composer, Bootstrap duplicado | Consolidar dependencias donde sea viable |
| Gestor de archivos publico | Alta | `kcfinder/` | Confirmar autenticacion, permisos y restricciones de subida |
| Configuracion sensible en PHP | Alta | `config.inc.php`, `config.db.php`, `config.csrf-secret.php` | Verificar permisos y bloqueo de descarga |
| Cache/uploads bajo webroot | Media | `cache/upload`, `storage`, `test/upload` | Validar `.htaccess`, extensiones permitidas y ejecucion PHP |
| Cron accesible por web | Media | `vtigercron.php` | Confirmar token/clave o restriccion de origen |
| Modulos personalizados sin trazabilidad | Media | `GeoCuentas`, `Logistica`, `WSAPP` | Documentar propietarios, pruebas y dependencias |

No se altero ningun archivo de aplicacion ni se ejecutaron migraciones.