Offenliegende Dateien wie .env und .git

Dateien, die ein Deploy nie veröffentlichen darf — .env, .git, Datenbank-Dumps — gezielt angefragt und am Inhalt der Antwort bestätigt. Jede gibt Zugangsdaten oder Quellcode preis.

• Hilfe

Wird eine Website deployt, indem man einen Arbeitsordner auf den Server kopiert, wandern oft Dateien mit, die nie für Besucher gedacht waren: die .env mit Datenbankpasswörtern und API-Schlüsseln, das .git-Verzeichnis mit der gesamten Quellcode-Historie, ein backup.zip vor einem riskanten Update, ein vergessenes phpinfo.php. Bots fragen diese Adressen auf jeder Domain ab, die sie finden – eine offene Datei wird meist binnen Stunden entdeckt.

So prüft SiteScan

Der Scan fragt eine feste Liste ab – /.env, /.git/config, /.git/HEAD, /server-status, /phpinfo.php, /.DS_Store, /backup.sql, /backup.zip, /backup.tar.gz, bei WordPress zusätzlich /wp-config.php.bak – und liest höchstens 8 KB jeder Antwort. Ein Treffer zählt nur bei einer 2xx-Antwort, die keine HTML-Seite ist und deren Inhalt passt: bekannte Variablennamen in der .env, ein [core]-Abschnitt in der Git-Konfiguration, die Signatur von zip oder gzip im Archiv. Eine Seite, die jede Adresse mit ihrer Startseite beantwortet, löst also keinen Fehlalarm aus. Jeder Treffer färbt die Zeile rot und nennt die Pfade.

So beheben Sie es

Löschen Sie die Datei und behandeln Sie ihren Inhalt als geleakt: Ändern Sie alle enthaltenen Passwörter und Schlüssel. Sperren Sie Punktdateien am Server, etwa mit location ~ /\.(?!well-known) { deny all; } in nginx, und deployen Sie ein Build-Artefakt statt einer Arbeitskopie. Siehe auch Verzeichnis-Listing.