Archivos que olvidaste que eran públicos

Al crear y subir un sitio, puede venir más que las páginas. Una copia de seguridad de la base de datos, un archivo de ajustes, un listado de carpeta o un archivo de registro pueden acabar en una dirección pública.

Nadie enlaza a ellos, así que parecen ocultos. No lo están. Los atacantes prueban nombres de archivo comunes en cada sitio que visitan, como /backup.zip, /.env o /.git/.

Qué queda olvidado

• Archivos de ajustes con contraseñas de la base de datos o del servicio de correo.
• Copias de seguridad con una copia completa de tus datos.
• Listados de carpetas que muestran todos los archivos de una carpeta, incluidos los que olvidaste.
• Páginas de error y de depuración que muestran cómo funciona el sitio por dentro.
• Historial del código fuente de la herramienta que usa tu desarrollador para guardar cambios.

Tu robots.txt y tu mapa del sitio también pueden señalarlos. Indican a los buscadores qué omitir o leer, y cualquiera puede leerlos.

Qué hacer

Borra el archivo del sitio activo y después comprueba si algo que contenía necesita sustituirse. Una contraseña filtrada hay que cambiarla, no solo ocultarla. Asegúrate de que tu paso de subida o de compilación publique solo el sitio, y desactiva los listados de carpetas en tu alojamiento.

Un escaneo revisa una lista corta y cuidadosa de nombres de archivo comunes y nunca descarga más de lo necesario para confirmar que uno existe.