Gevoelig bestand openbaar

Waarom het belangrijk is

Dergelijke bestanden bevatten vaak wachtwoorden voor de database of mail, of laten zien hoe de site is gebouwd. Met die informatie hoeft een indringer niets meer te raden. Dit is de meest urgente bevinding van de veiligheidscheck.

Hoe Snaglist dit controleert

Dit hoort bij de veiligheidscheck, een eigen check naast de crawl, in Studio en Bureau, en alleen op een site die je hebt geverifieerd. Snaglist kijkt alleen naar wat elke bezoeker van buitenaf kan zien. Hij logt nooit in, raadt geen wachtwoorden en stuurt geen aanvallen. Aan het einde vraagt hij vijf adressen op die nooit publiek mogen zijn, zoals /.env, /.git/HEAD, een back-up van wp-config.php, debug.log en phpinfo.php. Hij meldt een bestand alleen als de inhoud echt dat bestand is, niet een normale pagina. Een firewall die hier ingrijpt, is een goed teken.

Veelvoorkomende oorzaken

• Een back-up of testbestand dat na een wijziging is blijven staan
• Debug-logging stond aan en is nooit uitgezet
• Een codemap die samen met de site is geüpload

Hoe je het oplost

1. Verwijder het bestand direct, of verplaats het buiten de webmap.
2. Bevatte het een wachtwoord? Wijzig dat wachtwoord onmiddellijk.
3. Zet debug-logging uit op de live site.
4. Draai de veiligheidscheck opnieuw ter controle.

Zo staat het in het rapport

In het rapport voor je klant staat dit onder de kop "Er staat een bestand open dat niemand mag zien". Is alles in orde, dan meldt het rapport: "Er staan geen gevoelige bestanden open".