Ficheiros que nunca devem ficar públicos: pastas .git, .env, cópias e despejos da base de dados

A resposta curta: tudo o que está na pasta do site pode ser pedido por qualquer pessoa que adivinhe o nome do ficheiro. Esquecem-se ali pastas do Git, ficheiros com senhas (.env), cópias do tipo wp-config.php.bak e despejos da base de dados (.sql). Robôs procuram esses nomes todos os dias. Verifique, apague e bloqueie.

O que o site precisa

O quê O que fazer
Pasta .git Guarda o código todo e o histórico, incluindo senhas antigas que alguém escreveu e apagou. o-seu-dominio.com/.git/config não deve abrir.
Ficheiro .env Senhas e chaves da aplicação: Senhas fora do código PHP.
Cópias de ficheiros wp-config.php.bak, config.old, .zip do site, pastas «backup»: o servidor entrega-as como texto ou descarrega-as.
Despejos da base de dados Um ficheiro .sql na pasta do site é a base de dados toda, a um endereço de distância.
Registos e ferramentas de teste debug.log, error_log, phpinfo.php, instaladores: Modo de depuração.

Como começar

1 Procure no Gestor de Ficheiros (com «mostrar ficheiros ocultos») tudo o que não é o site: .git, .env, .sql, .zip, .bak, .old, .log.
2 Teste no navegador alguns endereços que um robô tentaria (.env, .git/config, um .sql com o nome do site). Deve ver «404» ou «403», nunca o conteúdo.
3 Mova ou apague o que não é preciso. As cópias de segurança guardam-se fora da pasta pública: A sua própria cópia de segurança.
4 Bloqueie o que tem de ficar, acrescentando ao .htaccess: <FilesMatch "\.(env|sql|bak|old|log)$">
Require all denied
</FilesMatch> e, para as pastas do Git, uma regra que as recuse.
5 Se algum segredo esteve exposto, mude-o: a senha da base de dados, as chaves de API, o que estava no .env. Apagar o ficheiro não desfaz o que já foi lido.
Apagar o ficheiro não basta se alguém já o leu. Se esteve público, assuma que foi copiado e mude as senhas. Depois confira se houve acessos estranhos: Depois de um ataque.
Para publicar com o Git sem expor a pasta .git, veja Git no cPanel. Os cabeçalhos de segurança ajudam, mas não substituem isto: Cabeçalhos de segurança.

Encontrou algo exposto e não sabe como o fechar? Abra um pedido com o endereço, sem copiar o conteúdo do ficheiro.

Abrir pedido de suporte

VEJA TAMBÉM

Manter as palavras-passe fora do código PHP: ficheiros .env e as permissões certas

Git no cPanel: publicar o site a partir de um repositório

Fazer e guardar a sua própria cópia, e testar se ela presta

Cabeçalhos de segurança explicados: o que fazem e como os acrescentar no .htaccess

Depois de um ataque, que cópia restaurar? Como escolher uma cópia limpa

PRODUTO RECOMENDADO

Alojamento de sites com cPanel

Domínio e SSL incluídos, cópias diárias e o painel que já conhece. desde 5.940,00 Kz/mês (plano de 3 anos, com cupão)

Ver planos
  • 0 Utilizadores acharam útil
Esta resposta foi útil?

Artigos Relacionados

O que é um certificado SSL e qual a sua vantagem? Um certificado SSL cifra a ligação entre o navegador de um visitante e o seu site, para que senhas, números de cartão e...
Porque é que o meu certificado SSL não dura 365 dias? Se está no SSL grátis que toda a conta recebe por padrão, isto não se aplica a si - avance para a nota abaixo. Só é rele...
Como redireccionar HTTP para HTTPS via .htaccess Isto obriga todos os visitantes à versão cifrada do seu site, mesmo que escrevam ou liguem para o endereço simples http:...
Como saber se o meu site está infectado por malware A maioria das infecções não se anuncia - aparecem como pequenos sintomas estranhos antes de algo parecer claramente erra...
Como resolver um site infectado por malware Limpar é só metade do trabalho - se a porta que deixou entrar a infecção continuar aberta, ela volta. Siga esta ordem. 1...
Content Security Policy: uma primeira política, ensaiada em modo de relatório A resposta curta: a Content Security Policy (CSP) é um cabeçalho que diz ao navegador de onde o site pode carregar scrip...