# 公開されてしまっていた、忘れていたファイル

公開中のサイトに残ってしまうバックアップ、設定ファイル、フォルダーと、攻撃者より先にスキャンで見つける方法です。

サイトをビルドしてアップロードすると、ページ以外のものも一緒に残ることがあります。データベースのバックアップ、設定ファイル、フォルダーの一覧、ログファイルが、公開アドレスに置かれてしまうことがあります。

どこからもリンクされていないため、隠れているように感じられます。しかし、隠れてはいません。攻撃者は訪れたサイトすべてに対して、`/backup.zip`、`/.env`、`/.git/` のような、よくあるファイル名を試します。

## 残ってしまうもの

* **設定ファイル**。データベースやメールサービスのパスワードが含まれているもの。
* **バックアップ**。データの完全なコピーが含まれているもの。
* **フォルダーの一覧**。忘れていたものを含め、フォルダー内のすべてのファイルが表示されるもの。
* **エラーページやデバッグページ**。サイトの内部の仕組みが見えてしまうもの。
* **ソースコードの履歴**。開発者が変更を保存するために使うツールに残っているもの。

`robots.txt` やサイトマップも、これらのファイルを指し示している場合があります。これらは検索エンジンに、どこを読まず、どこを読むかを伝えるもので、誰でも読めます。

## 対処方法

公開中のサイトからファイルを削除し、その中に取り替えが必要なものがないか確認してください。漏えいしたパスワードは、隠すだけでなく変更する必要があります。アップロードやビルドの工程で、公開されるのがサイト本体だけになっているか確認してください。また、ホスティングサービスでフォルダーの一覧表示をオフにしてください。

スキャンは、よくあるファイル名の短く慎重に選んだ一覧を確認します。ファイルがあるかを確かめるのに必要な分以上は、決してダウンロードしません。

> **Try it**
>
> [修正が必要な項目](/app/findings)を開き、公開されたファイルに関する項目がないか確認してください。