Fichier sensible public

Pourquoi c'est important

De tels fichiers contiennent souvent des mots de passe pour la base de données ou le courrier, ou montrent comment le site est construit. Avec eux, un intrus n'a plus besoin de deviner quoi que ce soit. C'est la découverte la plus urgente de la vérification de sécurité.

Comment Snaglist le vérifie

Ceci fait partie de la vérification de sécurité, une vérification distincte à côté du crawl, dans Studio et Bureau, et uniquement sur un site que vous avez vérifié. Snaglist examine uniquement ce qu'un visiteur peut voir de l'extérieur. Il ne se connecte jamais, ne devine pas de mots de passe et n'envoie pas d'attaques. À la fin, il interroge cinq adresses qui ne devraient jamais être publiques, comme /.env, /.git/HEAD, une sauvegarde de wp-config.php, debug.log et phpinfo.php. Il ne signale un fichier que lorsque le contenu correspond vraiment à ce fichier, et non à une page normale. Un pare-feu qui intervient ici est un bon signe.

Causes fréquentes

• Une sauvegarde ou un fichier de test laissé après une modification
• Le journal de débogage activé et jamais désactivé
• Un dossier de code téléchargé avec le site

Comment le corriger

1. Supprimez le fichier immédiatement, ou déplacez-le en dehors du dossier web.
2. Contenait-il un mot de passe ? Changez ce mot de passe immédiatement.
3. Désactivez le journal de débogage sur le site en production.
4. Relancez la vérification de sécurité pour confirmer.

Présentation dans le rapport

Dans le rapport pour votre client, ceci apparaît sous le titre « Un fichier est accessible alors que personne ne devrait le voir ». Lorsque tout est en ordre, le rapport indique : « Aucun fichier sensible n'est accessible au public ».