# Recomendaciones Finales

1. P0: bloquear inmediatamente descarga de `composer.json`, `composer.lock`, `*.zip`, `*.tar`, `*.tar.gz`, `*.sql`, `*.bak`, `*.old`, `*.log` dentro de `/admin` salvo excepciones justificadas.
2. P0: bloquear `/admin/migrate/` desde HTTP publico o retirarlo de produccion tras respaldo y validacion.
3. P1: restringir KCFinder a usuarios autenticados estrictamente y mover uploads fuera de webroot o a carpeta no ejecutable validada para PHP-FPM/lsapi.
4. P1: restringir `vtigercron.php` a CLI o IP local; no depender solo de sesion web.
5. P1: configurar cookies de sesion con `Secure`, `HttpOnly`, `SameSite=Lax/Strict`.
6. P2: agregar headers `Content-Security-Policy`, `Strict-Transport-Security`, `X-Frame-Options`, `X-Content-Type-Options`, `Referrer-Policy`.
7. P2: revisar y limpiar controladamente `test/`, `pkg/`, `packages/`, `cache/` y tarballs legacy.
8. P2: crear regla de despliegue que impida subir backups/paquetes al webroot.

Estado recomendado: PASS WITH WARNINGS por eliminacion P0 completada, pero quedan P0 publicos confirmados.