Shield: fugas de archivos y accesos
La categoría más común de hallazgos no son los virus, sino los archivos olvidados: .env, .git, copias de seguridad, instaladores. Cada uno representa un peligro y debe atenderse en un orden específico.
La categoría más común de hallazgos en Shield no son los virus, sino los archivos innecesarios accesibles para cualquiera. Ninguno aparece de forma intencional: quedan después de una migración, de una depuración o de actualizaciones. Esta lista es donde empieza un ataque al sitio.
Qué se busca y cuáles son los riesgos
| Hallazgo | Peligro | Por qué es malo |
|---|---|---|
| .env abierto | Crítico | Contraseñas de la base de datos, claves del sistema de pagos y correos electrónicos, todo en un solo archivo |
| Archivo con acceso | Crítico | La configuración con credenciales de acceso es de acceso público |
| La configuración del CMS es accesible | Crítico | Camino directo a la base de datos del sitio |
| El directorio .git está abierto | Alto | Se puede restaurar todo el código fuente, incluidas las contraseñas eliminadas |
| Copia de seguridad o volcado | Alto | Se descarga completo: base de datos, usuarios, pedidos |
| Instalador abierto | Alto | Permite reinstalar el sitio sobre el que está en funcionamiento |
| phpinfo o server-status | Medio | Revela la configuración y las rutas del servidor |
| Listado de directorios | Medio | Muestra qué archivos hay en el servidor |
| Versión del servidor en los encabezados | Bajo | Da pistas a los escáneres sobre qué vulnerabilidades probar |
Caso de nuestra práctica
Un instalador público de un miniblog en uno de nuestros subdominios provocó una advertencia de phishing de Google al iniciar sesión: no porque el sitio hubiera sido hackeado, sino porque la página de instalación parecía un formulario de recopilación de datos. Un archivo olvidado costó más que cualquier vulnerabilidad.Orden de eliminación
- Elimina los archivos innecesarios. Las copias de seguridad, los volcados, los instaladores y las páginas de depuración no deben estar en la raíz del sitio.
- Cierra los directorios de servicio a nivel del servidor, no mediante reglas de la aplicación.
- Cambia todo lo que pudo haberse filtrado. Si .env o un volcado estuvo abierto, considera las contraseñas comprometidas y cámbialas.
- Elimina las versiones de los encabezados: consulta los encabezados de respuesta del servidor.
- Vuelve a comprobar con un nuevo escaneo.
Por qué esto también concierne al SEO
Un sitio hackeado pierde posiciones rápidamente: el buscador lo marca como no seguro y los visitantes ven una advertencia del navegador. La recuperación toma semanas. Por eso, las comprobaciones de seguridad deben hacerse no después de los problemas, sino antes, sobre todo porque el modo básico es gratuito.
Preguntas frecuentes
¿Por qué es peligroso un .git abierto?
Permite restaurar todo el código fuente del sitio, incluidas las contraseñas que alguna vez estuvieron en el repositorio y que luego se eliminaron.
¿Qué hacer si se abrió un archivo con acceso?
Considera las contraseñas como comprometidas y cámbialas todas: base de datos, administrador, correo electrónico y claves de pago.
¿Estos hallazgos afectan al SEO?
De forma indirecta: un sitio hackeado a través de ellos pierde posiciones y recibe una advertencia del navegador, y la recuperación lleva semanas.
¿Te resultó útil este artículo?
¡Gracias! Lo tendremos en cuenta en futuras actualizaciones.
Pruébalo en tu proyecto
Todo lo descrito en el artículo está disponible en el panel: el bono de registro ya está en tu saldo.
Abrir panel