Archivo sensible público

Por qué importa

Estos archivos suelen contener contraseñas para la base de datos o el correo, o muestran cómo está construido el sitio. Con ellos, un intruso no necesita adivinar nada. Este es el hallazgo más urgente de la comprobación de seguridad.

Cómo lo comprueba Snaglist

Esto forma parte de la comprobación de seguridad, una verificación independiente junto al rastreo, en Studio y Bureau, y solo en un sitio que hayas verificado. Snaglist solo examina lo que cualquier visitante puede ver desde fuera. Nunca inicia sesión, no adivina contraseñas ni envía ataques. Al final, solicita cinco direcciones que nunca deberían ser públicas, como /.env, /.git/HEAD, una copia de seguridad de wp-config.php, debug.log y phpinfo.php. Solo informa de un archivo cuando el contenido es realmente ese archivo, no una página normal. Un firewall que intervenga aquí es una buena señal.

Causas habituales

• Un archivo de copia de seguridad o prueba dejado tras un cambio
• Registro de depuración activado y nunca desactivado
• Una carpeta de código subida junto con el sitio

Cómo solucionarlo

1. Elimina el archivo de inmediato o muévelo fuera de la carpeta web.
2. ¿Contenía una contraseña? Cambia esa contraseña inmediatamente.
3. Desactiva el registro de depuración en el sitio en vivo.
4. Ejecuta de nuevo la comprobación de seguridad para confirmar.

Cómo aparece en el informe

En el informe para tu cliente, esto aparece bajo el encabezado "Hay un archivo abierto que nadie debería ver". Cuando todo está en orden, el informe indica: "No hay archivos sensibles accesibles al público".