Aktiviertes Verzeichnis-Listing

Ordner, deren Inhalt der Server auflistet, statt abzulehnen. Alles, was dort je hochgeladen wurde, ist für jeden lesbar, der den Pfad errät.

• Hilfe

Fehlt in einem Ordner eine Indexdatei, erzeugen viele Server statt einer Ablehnung eine Seite, die den gesamten Inhalt auflistet – Apache mit Options +Indexes, nginx mit autoindex on. Ein Upload- oder Asset-Ordner wird so zum offenen Katalog: alte Exporte, Rechnungen, Entwürfe und alles andere, was dort je abgelegt, aber nie verlinkt wurde. Suchmaschinen können solche Listen indexieren, sodass die Dateien in Suchergebnissen auftauchen.

So prüft SiteScan

Beim Crawlen merkt sich der Scan einen Ordner, aus dem die Seite ihre eigenen Bilder, Skripte oder Stylesheets lädt (etwa /wp-content/uploads/2024/05/ oder /assets/), und ruft die Ordneradresse direkt auf. Ist die Antwort ein 200 und beginnt der Seitentitel mit „Index of“ oder „Directory listing for“ – so benennen Apache, nginx und die meisten eingebauten Server sie –, wird die Zeile rot und nennt den Ordner. Ein 403, ein 404 oder eine normale Seite bedeuten Ablehnung; die Zeile zeigt dann „Nichts gefunden“. Geprüft wird nur ein Ordner, ein sauberes Ergebnis beweist also nicht, dass alle geschlossen sind.

So beheben Sie es

Schalten Sie Listings global ab: Options -Indexes in der Apache-Konfiguration oder .htaccess, autoindex off; in nginx (dort Standard). Eine leere index.html im Ordner genügt ebenfalls. Prüfen Sie danach, was erreichbar war, und entfernen Sie Sensibles – siehe vom Deploy hinterlassene Dateien.