# Arquivos que você esqueceu que estavam públicos

Backups, arquivos de configuração e pastas que acabam em um site no ar, e como uma verificação os encontra antes de outra pessoa.

Quando um site é construído e enviado, mais do que as páginas pode vir junto. Um backup do banco de dados, um arquivo de configuração, a listagem de uma pasta ou um arquivo de log pode acabar em um endereço público.

Ninguém linka para eles, então parecem escondidos. Não estão. Atacantes tentam nomes de arquivo comuns em todos os sites que visitam, como `/backup.zip`, `/.env` ou `/.git/`.

## O que fica para trás

* **Arquivos de configuração** com senhas do banco de dados ou do serviço de e-mail.
* **Backups** com uma cópia completa dos seus dados.
* **Listagens de pastas** que mostram todos os arquivos de uma pasta, inclusive os que você esqueceu.
* **Páginas de erro e de depuração** que mostram como o site funciona por dentro.
* **Histórico do código-fonte** da ferramenta que o seu desenvolvedor usa para salvar as alterações.

O seu `robots.txt` e o seu sitemap também podem apontar para eles. Eles dizem aos buscadores o que pular ou ler, e qualquer pessoa pode lê-los.

## O que fazer

Apague o arquivo do site no ar e depois pergunte se algo nele precisa ser substituído. Uma senha vazada precisa ser trocada, não apenas escondida. Garanta que a sua etapa de envio ou de build publique apenas o próprio site, e desative as listagens de pastas no seu provedor de hospedagem.

Uma verificação confere uma lista curta e cuidadosa de nomes de arquivo comuns e nunca baixa mais do que o necessário para confirmar que um deles existe.

> **Try it**
>
> Abra [as suas coisas para corrigir](/app/findings) e procure qualquer item sobre
> arquivos expostos.