Listowanie katalogów na serwerze

Katalogi, których zawartość serwer wypisuje zamiast odmówić. Wszystko, co kiedykolwiek tam wgrano, może przejrzeć każdy, kto zgadnie ścieżkę.

• Pomoc

Gdy w katalogu nie ma pliku indeksu, wiele serwerów zamiast odmówić generuje stronę z listą całej jego zawartości — Apache przy Options +Indexes, nginx przy autoindex on. Katalog z uploadami czy zasobami staje się wtedy otwartym spisem: stare eksporty, faktury, szkice i wszystko inne, co kiedyś tam trafiło, choć żadna strona do tego nie linkowała. Wyszukiwarki potrafią indeksować takie listy, więc pliki mogą wypłynąć w wynikach wyszukiwania.

Jak sprawdza SiteScan

Podczas przeglądania witryny skaner zapamiętuje katalog, z którego serwowane są jej własne obrazy, skrypty lub style (np. /wp-content/uploads/2024/05/ albo /assets/), i odpytuje sam adres katalogu. Jeśli odpowiedź to 200, a tytuł strony zaczyna się od „Index of” lub „Directory listing for” — tak nazywają je Apache, nginx i większość wbudowanych serwerów — wiersz robi się czerwony i podaje katalog. Odpowiedź 403, 404 albo zwykła strona oznacza odmowę, a wiersz pokazuje „Nic nie znaleziono”. Sprawdzany jest jeden katalog, więc czysty wynik nie dowodzi, że zamknięte są wszystkie.

Jak to naprawić

Wyłącz listowanie globalnie: Options -Indexes w konfiguracji Apache lub .htaccess, autoindex off; w nginx (to jego wartość domyślna). Zadziała też pusty index.html w katalogu. Potem sprawdź, co było dostępne, i usuń wszystko, co wrażliwe — zobacz pliki po wdrożeniu.