Відкриті чутливі файли

Щотижнева перевірка публічного доступу до .env, .git, backup-файлів і адмін-панелей. Один відкритий файл може поставити під загрозу весь бізнес.

01 Що це таке?

Чутливі файли — це конфігурації, резервні копії і службові ресурси, які ніколи не повинні бути доступні публічно. Але після деплою, через помилку конфігурації або недбалість розробника вони часто залишаються відкритими у браузері будь-кого. Файл .env містить паролі до бази даних, API-ключі і секретні токени. Файл .git/config — повну структуру репозиторію. Backup.zip — весь вихідний код сайту. Зловмисники автоматично сканують увесь інтернет у пошуку таких файлів — це займає лічені хвилини.

02 Чому це важливо для бізнесу?

→.env з паролем до бази даних — повний доступ до всіх даних клієнтів за кілька секунд
→.git директорія дозволяє завантажити весь вихідний код сайту і знайти вразливості
→Backup-файли (.sql, .zip) часто містять хеші паролів, персональні дані і ключі API
→Відкритий phpMyAdmin або Adminer без обмеження по IP — пряма атака на базу даних
→Автоматичні сканери перевіряють ці шляхи на мільйонах сайтів щоденно

03 Що саме перевіряємо

✓/.env, /.env.local, /.env.production — файли конфігурації з секретами
✓/.git/config, /.git/HEAD — відкрита git-директорія
✓/backup.zip, /backup.sql, /db.sql, /site.tar.gz — резервні копії
✓/wp-config.php.bak, /configuration.php.bak — backup конфігів CMS
✓/phpMyAdmin/, /pma/, /adminer.php — відкриті інструменти адміністрування БД
✓/composer.json, /package.json — розкривають стек технологій і версії залежностей

04 Типові проблеми

Відкритий .env після деплою

Найбільш катастрофічна знахідка. .env файл містить DATABASE_URL з паролем, SECRET_KEY, API ключі до Stripe, AWS, SendGrid. Зловмисник отримує повний контроль над усіма підключеними сервісами.

GET /.env → 200 OK DB_PASSWORD=prod_secret_123 STRIPE_SECRET_KEY=sk_live_...

Git-директорія відкрита на продакшні

Якщо /.git/ доступний публічно — зловмисник може відновити весь вихідний код через git clone або спеціальні інструменти типу GitDumper. Навіть приватний репозиторій стає публічним.

GET /.git/config → 200 OK | Весь репозиторій доступний для завантаження

SQL-дамп в корені сайту

Розробник вивантажив backup бази даних для міграції і забув видалити. Файл db_backup_2024.sql у корені сайту містить усі дані клієнтів, хешовані паролі і транзакції.

GET /db_backup_march.sql → 200 OK | 47MB | 180 000 записів клієнтів

05 Вплив на бізнес

Витік даних через відкритий .env або backup — це не просто технічна проблема. Це штрафи за GDPR (до 4% річного обороту або €20 млн), сповіщення всіх постраждалих клієнтів, репутаційний крах і потенційні судові позови. Щотижнева перевірка 10 файлів займає секунди і може запобігти найгіршому сценарію.

Хочете автоматичну перевірку цього параметра?

Rank Sentinel моніторить це і ще 20+ параметрів — щодня, без вашої участі.

🚀 Підключити моніторинг

5 000 грн/рік · Beta-ціна

Деталі перевірки

Критичність: Критична
Частота: Щотижня
Категорія: security

Схожі перевірки

🔒

SSL-сертифікат

Перевіряємо дійсність, рейтинг і термін дії SSL-сертифіката — щодня, із попередженням за 30 і 7 днів до закінчення.

🛡

HTTP Security Headers

Перевіряємо наявність і правильне налаштування заголовків безпеки HTTP, які захищають від XSS, clickjacking та інших атак.

📦

Вразливості JS-бібліотек

Знаходимо застарілі версії jQuery, Bootstrap та інших бібліотек з відомими CVE-вразливостями, які можуть бути проексплуатовані хакерами.