# Archivos que olvidaste que eran públicos

Copias de seguridad, archivos de ajustes y carpetas que acaban en un sitio activo, y cómo un escaneo los encuentra antes que otro.

Al crear y subir un sitio, puede venir más que las páginas. Una copia de seguridad de la base de datos, un archivo de ajustes, un listado de carpeta o un archivo de registro pueden acabar en una dirección pública.

Nadie enlaza a ellos, así que parecen ocultos. No lo están. Los atacantes prueban nombres de archivo comunes en cada sitio que visitan, como `/backup.zip`, `/.env` o `/.git/`.

## Qué queda olvidado

* **Archivos de ajustes** con contraseñas de la base de datos o del servicio de correo.
* **Copias de seguridad** con una copia completa de tus datos.
* **Listados de carpetas** que muestran todos los archivos de una carpeta, incluidos los que olvidaste.
* **Páginas de error y de depuración** que muestran cómo funciona el sitio por dentro.
* **Historial del código fuente** de la herramienta que usa tu desarrollador para guardar cambios.

Tu `robots.txt` y tu mapa del sitio también pueden señalarlos. Indican a los buscadores qué omitir o leer, y cualquiera puede leerlos.

## Qué hacer

Borra el archivo del sitio activo y después comprueba si algo que contenía necesita sustituirse. Una contraseña filtrada hay que cambiarla, no solo ocultarla. Asegúrate de que tu paso de subida o de compilación publique solo el sitio, y desactiva los listados de carpetas en tu alojamiento.

Un escaneo revisa una lista corta y cuidadosa de nombres de archivo comunes y nunca descarga más de lo necesario para confirmar que uno existe.

> **Try it**
>
> Abre [tus cosas por corregir](/app/findings) y busca cualquier cosa sobre archivos expuestos.