Odsłonięte pliki .env, .git i kopie

Pliki, których wdrożenie nie powinno publikować nigdy — .env, .git, zrzuty bazy — odpytane po adresie i potwierdzone treścią odpowiedzi. Każdy oddaje na zewnątrz dane dostępowe albo kod źródłowy.

• Pomoc

Gdy witrynę wdraża się, kopiując na serwer roboczy katalog, razem z nią często trafiają tam pliki, których odwiedzający nie powinni zobaczyć: .env z hasłami do bazy i kluczami API, katalog .git z całą historią kodu, backup.zip zrobiony przed ryzykowną zmianą, zapomniany phpinfo.php. Boty odpytują te adresy na każdej domenie, jaką znajdą, więc odsłonięty plik zwykle zostaje wykryty w ciągu kilku godzin.

Jak sprawdza SiteScan

Skaner odpytuje stałą listę — /.env, /.git/config, /.git/HEAD, /server-status, /phpinfo.php, /.DS_Store, /backup.sql, /backup.zip, /backup.tar.gz, a na WordPressie także /wp-config.php.bak — i czyta najwyżej 8 KB odpowiedzi. Plik się liczy tylko wtedy, gdy odpowiedź ma kod 2xx, nie jest stroną HTML, a treść to potwierdza: znane nazwy zmiennych w .env, sekcja [core] w konfiguracji Gita, sygnatura zip lub gzip w archiwum. Witryna, która na każdy adres zwraca stronę główną, nie wywoła fałszywego alarmu. Każde trafienie barwi wiersz na czerwono i wypisuje ścieżki.

Jak to naprawić

Usuń plik i potraktuj jego zawartość jako ujawnioną: zmień wszystkie hasła i klucze, które zawierał. Zablokuj pliki z kropką na serwerze, np. location ~ /\.(?!well-known) { deny all; } w nginx, i wdrażaj zbudowany artefakt zamiast kopii roboczej. Zobacz też listowanie katalogów.