Открытые файлы .env, .git и бэкапы

Файлы, которые деплой не должен публиковать никогда — .env, .git, дампы базы, — запрошенные по адресу и подтверждённые по содержимому ответа. Каждый отдаёт наружу доступы или исходный код.

• Помощь

Когда сайт выкладывают на сервер копированием рабочей папки, вместе с ним часто уезжает то, что посетителям видеть не положено: .env с паролями от базы и API-ключами, каталог .git со всей историей исходников, backup.zip, сделанный перед рискованным обновлением, забытый phpinfo.php. Боты запрашивают эти адреса на каждом домене, который находят, поэтому открытый файл обычно обнаруживают за считаные часы.

Как проверяет SiteScan

Сканер запрашивает фиксированный список — /.env, /.git/config, /.git/HEAD, /server-status, /phpinfo.php, /.DS_Store, /backup.sql, /backup.zip, /backup.tar.gz, а на WordPress ещё /wp-config.php.bak — и читает не больше 8 КБ ответа. Файл засчитывается, только если ответ 2xx, это не HTML-страница и содержимое действительно похоже на оригинал: известные имена переменных в .env, секция [core] в конфиге Git, сигнатура zip или gzip у архива. Сайт, который на любой адрес отдаёт главную, ложной тревоги не вызовет. Любая находка красит строку в красный и перечисляет пути.

Как исправить

Удалите файл и считайте его содержимое утёкшим: смените все пароли и ключи из него. Закройте скрытые файлы на уровне сервера, например location ~ /\.(?!well-known) { deny all; } в nginx, и выкладывайте собранный артефакт, а не рабочую копию. См. также листинг директорий.