Листинг директорий на сервере

Папки, содержимое которых сервер показывает списком вместо отказа. Всё, что туда когда-либо загружали, доступно любому, кто угадает путь.

• Помощь

Если в папке нет индексного файла, многие серверы вместо отказа генерируют страницу со списком всего её содержимого — Apache с Options +Indexes, nginx с autoindex on. Папка загрузок или ассетов превращается в открытый каталог: старые выгрузки, счета, черновики и всё остальное, что туда когда-то положили, но ни с одной страницы не ссылались. Поисковики тоже умеют индексировать такие списки, и файлы всплывают в выдаче.

Как проверяет SiteScan

Во время обхода сканер запоминает папку, из которой сайт отдаёт собственные картинки, скрипты или стили (например, /wp-content/uploads/2024/05/ или /assets/), и запрашивает сам адрес папки. Если в ответ приходит 200 и заголовок страницы начинается с «Index of» или «Directory listing for» — так их называют Apache, nginx и большинство встроенных серверов, — строка становится красной и называет папку. Ответ 403, 404 или обычная страница означают отказ, и в строке будет «Ничего не найдено». Проверяется одна папка, так что чистый результат не гарантирует, что закрыты все остальные.

Как исправить

Отключите листинг глобально: Options -Indexes в конфиге Apache или .htaccess, autoindex off; в nginx (там это значение по умолчанию). Подойдёт и пустой index.html в папке. Затем проверьте, что было доступно, и уберите всё чувствительное — см. файлы после деплоя.