# HTTP Headers

## Observado

Respuestas revisadas: `/`, `/admin/`, `/admin/index.php`, `/admin/migrate/`, `/admin/kcfinder/browse.php`, `/admin/packages/vtiger/mandatory/Mobile.zip`, `/admin/gravimex.zip`.

Headers presentes tipicos:

- `server: Apache`
- `content-type`
- `cache-control: no-store, no-cache, must-revalidate` en paginas PHP con sesion
- `set-cookie: PHPSESSID=...; path=/` en rutas PHP

Headers de seguridad no observados en respuestas revisadas:

- `Content-Security-Policy`
- `Strict-Transport-Security`
- `X-Frame-Options`
- `X-Content-Type-Options`
- `Referrer-Policy`
- `Permissions-Policy`

## Riesgo

P1/P2. La ausencia de headers no es por si sola explotacion, pero incrementa impacto de XSS, clickjacking, MIME sniffing y downgrade en clientes. `PHPSESSID` no mostro flags `Secure`, `HttpOnly` ni `SameSite` en los headers capturados.