File sensibile pubblico

Perché conta

Tali file spesso contengono password per il database o la posta, o mostrano come è costruito il sito. Con essi un intruso non deve indovinare nulla. Questo è il risultato più urgente della verifica di sicurezza.

Come lo controlla Snaglist

Questa è parte della verifica di sicurezza, un controllo separato accanto alla scansione, in Studio e Bureau, e solo su un sito che hai verificato. Snaglist guarda solo ciò che qualsiasi visitatore può vedere dall'esterno. Non effettua login, non indovina password e non invia attacchi. Alla fine richiede cinque indirizzi che non dovrebbero mai essere pubblici, come /.env, /.git/HEAD, un backup di wp-config.php, debug.log e phpinfo.php. Segnala un file solo quando il contenuto corrisponde davvero a quel file, non a una pagina normale. Un firewall che interviene qui è un buon segno.

Cause frequenti

• Un backup o un file di test lasciato dopo una modifica
• Il logging di debug attivato e mai disattivato
• Una cartella di codice caricata insieme al sito

Come risolverlo

1. Rimuovi subito il file o spostalo fuori dalla cartella web.
2. Conteneva una password? Cambiala immediatamente.
3. Disattiva il logging di debug sul sito live.
4. Esegui nuovamente la verifica di sicurezza per confermare.

Come appare nel report

Nel report per il tuo cliente appare sotto il titolo "Un file è accessibile che nessuno dovrebbe vedere". Quando tutto è a posto, il report riporta: "Nessun file sensibile è accessibile al pubblico".