###########################################################
testssl.sh 3.2.0 from https://testssl.sh/
A product of Dirk Wetter, licensed under GPLv2
###########################################################
Using "OpenSSL 1.1.1w 11 Sep 2023" [~95 ciphers]
on omnicontrol-laptop:/usr/bin/openssl
(built: "Jan 30 11:42:14 2024", platform: "linux-x86_64")
Start: 2026-04-08 17:55:42 UTC -->> app.omnicontrol.co:443 (app.omnicontrol.co) <<--
Service detected: HTTP
Testing protocols via sockets except NPN+ALPN
SSLv2not offered
SSLv3not offered
TLS 1.0not offered
TLS 1.1not offered
TLS 1.2offered
TLS 1.3offered (final)
Testing cipher suites
TLS_AES_256_GCM_SHA384strong (1.3)
TLS_CHACHA20_POLY1305_SHA256strong (1.3)
TLS_AES_128_GCM_SHA256strong (1.3)
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384strong (1.2)
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256strong (1.2)
Server's certificate
SubjectCN=app.omnicontrol.co
IssuerC=US, O=Let's Encrypt, CN=R3
Valid from2026-02-14 00:00:00 UTC
Valid to2026-05-14 23:59:59 UTC (36 days remaining)
Public key2048 bits RSA
Signature algorithmSHA256withRSA
Subject Alt Namesapp.omnicontrol.co, www.app.omnicontrol.co
Chain of trustOK
Testing vulnerabilities
Heartbleed (CVE-2014-0160)not vulnerable
CCS injection (CVE-2014-0224)not vulnerable
Ticketbleed (CVE-2016-9244)not vulnerable
ROBOTnot vulnerable
Secure Renegotiationsupported
BEAST (CVE-2011-3389)not vulnerable
POODLEnot vulnerable
FREAK (CVE-2015-0204)not vulnerable
Logjam (CVE-2015-4000)not vulnerable
DROWN (CVE-2016-0800)not vulnerable
HTTP security headers
Strict-Transport-Security(missing)
└─ HSTS no configurado — vulnerable a downgrade attacks
HSTS preload(missing)
└─ Sin preload, los primeros visitantes son vulnerables
Content-Security-Policy(missing)
└─ Sin CSP — XSS persistente puede exfiltrar sesiones
X-Frame-OptionsSAMEORIGIN
X-Content-Type-Optionsnosniff
Referrer-Policyno-referrer-when-downgrade
└─ Recomendado: strict-origin-when-cross-origin
Overall rating
Grade: B+
Rationale:
TLS configurado correctamente con protocolos modernos y cipher suites robustas. Sin embargo, faltan cabeceras HTTP de seguridad clave (HSTS, CSP) que reducen la calificación de A a B+.
Done in 47.3 s.
Resumen para el auditor: el reporte muestra una calificación B+. La configuración de TLS y ciphers es robusta, pero la ausencia de HSTS y CSP reduce la calificación. Dado que OmniControl expone una aplicación SaaS multi-tenant, esto es una Oportunidad de Mejora concreta y de bajo costo de remediación.