Arquivos que você esqueceu que estavam públicos

Quando um site é construído e enviado, mais do que as páginas pode vir junto. Um backup do banco de dados, um arquivo de configuração, a listagem de uma pasta ou um arquivo de log pode acabar em um endereço público.

Ninguém linka para eles, então parecem escondidos. Não estão. Atacantes tentam nomes de arquivo comuns em todos os sites que visitam, como /backup.zip, /.env ou /.git/.

O que fica para trás

• Arquivos de configuração com senhas do banco de dados ou do serviço de e-mail.
• Backups com uma cópia completa dos seus dados.
• Listagens de pastas que mostram todos os arquivos de uma pasta, inclusive os que você esqueceu.
• Páginas de erro e de depuração que mostram como o site funciona por dentro.
• Histórico do código-fonte da ferramenta que o seu desenvolvedor usa para salvar as alterações.

O seu robots.txt e o seu sitemap também podem apontar para eles. Eles dizem aos buscadores o que pular ou ler, e qualquer pessoa pode lê-los.

O que fazer

Apague o arquivo do site no ar e depois pergunte se algo nele precisa ser substituído. Uma senha vazada precisa ser trocada, não apenas escondida. Garanta que a sua etapa de envio ou de build publique apenas o próprio site, e desative as listagens de pastas no seu provedor de hospedagem.

Uma verificação confere uma lista curta e cuidadosa de nomes de arquivo comuns e nunca baixa mais do que o necessário para confirmar que um deles existe.