Arquivos que nunca devem ficar públicos: pastas .git, .env, cópias e despejos do banco de dados

Segurança·· 81 visualizações· 3 min de leitura

A resposta curta: tudo o que está na pasta do site pode ser pedido por qualquer pessoa que adivinhe o nome do arquivo. Esquecem-se ali pastas do Git, arquivos com senhas (.env), cópias do tipo wp-config.php.bak e despejos do banco de dados (.sql). Robôs procuram esses nomes todos os dias. Verifique, apague e bloqueie.

O que o site precisa

O quê O que fazer
Pasta .git Guarda o código todo e o histórico, incluindo senhas antigas que alguém escreveu e apagou. o-seu-dominio.com/.git/config não deve abrir.
Arquivo .env Senhas e chaves da aplicação: Senhas fora do código PHP.
Cópias de arquivos wp-config.php.bak, config.old, .zip do site, pastas «backup»: o servidor entrega-as como texto ou baixa-as.
Despejos do banco de dados Um arquivo .sql na pasta do site é o banco de dados toda, a um endereço de distância.
Registros e ferramentas de teste debug.log, error_log, phpinfo.php, instaladores: Modo de depuração.

Como começar

1 Procure no Gerenciador de Arquivos (com «mostrar arquivos ocultos») tudo o que não é o site: .git, .env, .sql, .zip, .bak, .old, .log.
2 Teste no navegador alguns endereços que um robô tentaria (.env, .git/config, um .sql com o nome do site). Deve ver «404» ou «403», nunca o conteúdo.
3 Mova ou apague o que não é preciso. Os backups guardam-se fora da pasta público: O seu próprio backup.
4 Bloqueie o que tem que ficar, acrescentando ao .htaccess: <FilesMatch "\.(env|sql|bak|old|log)$">
Require all denied
</FilesMatch> e, para as pastas do Git, uma regra que as recuse.
5 Se algum segredo esteve exposto, mude-o: a senha do banco de dados, as chaves de API, o que estava no .env. Apagar o arquivo não desfaz o que já foi lido.
Apagar o arquivo não basta se alguém já o leu. Se esteve público, assuma que foi copiado e mude as senhas. Depois confira se houve acessos estranhos: Depois de um ataque.
Para publicar com o Git sem expor a pasta .git, veja Git no cPanel. Os cabeçalhos de segurança ajudam, mas não substituem isto: Cabeçalhos de segurança.

Encontrou algo exposto e não sabe como o fechar? Abra um pedido com o endereço, sem copiar o conteúdo do arquivo.

Abrir pedido de suporte

VEJA TAMBÉM

Manter as senhas fora do código PHP: arquivos .env e as permissões certas

Git no cPanel: publicar o site a partir de um repositório

Fazer e guardar a sua própria cópia, e testar se ela presta

Cabeçalhos de segurança explicados: o que fazem e como os acrescentar no .htaccess

Depois de um ataque, que cópia restaurar? Como escolher uma cópia limpa

PRODUTO RECOMENDADO

Alojamento de sites com cPanel

Domínio e SSL incluídos, cópias diárias e o painel que já conhece. desde $6.60/mês (plano de 3 anos, com cupom)

Ver planos
Esta resposta foi útil? Sua resposta nos ajuda a melhorar este artigo.

Artigos Relacionados

Segurança 1.596 O que é um certificado SSL e qual a sua vantagem? Um certificado SSL criptografia a conexão entre o navegador de um visitante e o seu site, para que senhas, números de ca...
Segurança 1.442 Por que o meu certificado SSL não dura 365 dias? Se está no SSL grátis que toda a conta recebe por padrão, isto não se aplica a si - avance para a nota abaixo. Só é rele...
Segurança 2.418 Como redirecionar HTTP para HTTPS via .htaccess Isto obriga todos os visitantes à versão criptografada do seu site, mesmo que escrevam ou liguem para o endereço simples...
Segurança 1.563 Como saber se o meu site está infectado por malware A maioria das infecções não se anuncia - aparecem como pequenos sintomas estranhos antes de algo parecer claramente erra...
Segurança 1.533 Como resolver um site infectado por malware Limpar é só metade do trabalho - se a porta que deixou entrar a infecção continuar aberta, ela volta. Siga esta ordem. 1...
Segurança 44 Content Security Policy: uma primeira política, ensaiada em modo de relatório A resposta curta: a Content Security Policy (CSP) é um cabeçalho que diz ao navegador de onde o site pode carregar scrip...