# Des fichiers que vous aviez oubliés étaient publics

Sauvegardes, fichiers de paramètres et dossiers qui se retrouvent sur un site en ligne, et comment une analyse les trouve avant quelqu’un d’autre.

Lorsqu’un site est construit et envoyé en ligne, il arrive que plus que les pages soient transférées. Une sauvegarde de la base de données, un fichier de paramètres, une liste de dossier ou un fichier journal peuvent se retrouver à une adresse publique.

Personne ne fait de lien vers eux, donc ils semblent cachés. Ils ne le sont pas. Les attaquants essaient des noms de fichiers courants sur chaque site qu’ils visitent, comme `/backup.zip`, `/.env` ou `/.git/`.

## Ce qui reste en ligne

* **Fichiers de paramètres** contenant des mots de passe de la base de données ou du service de messagerie.
* **Sauvegardes** contenant une copie complète de vos données.
* **Listes de dossier** qui affichent chaque fichier d’un dossier, y compris ceux que vous aviez oubliés.
* **Pages d’erreur et de débogage** qui montrent le fonctionnement interne du site.
* **Historique du code source** provenant de l’outil qu’utilise votre développeur pour enregistrer les modifications.

Votre `robots.txt` et votre plan de site peuvent aussi y faire référence. Ils indiquent aux moteurs de recherche ce qu’il faut ignorer ou lire, et n’importe qui peut les lire.

## Que faire

Supprimez le fichier du site en ligne, puis vérifiez si quelque chose qu’il contenait doit être remplacé. Un mot de passe divulgué doit être changé, pas seulement masqué. Assurez-vous que votre envoi ou votre étape de compilation ne publie que le site lui-même, et désactivez les listes de dossiers chez votre hébergeur.

Une analyse vérifie une liste courte et prudente de noms de fichiers courants, et ne télécharge jamais plus que ce qu’il faut pour confirmer qu’un fichier est là.

> **Try it**
>
> Ouvrez [vos points à corriger](/app/findings) et cherchez tout ce qui concerne les fichiers exposés.