Shield: vazamentos de arquivos e acessos
A categoria mais comum de problemas encontrados não são vírus, mas arquivos esquecidos: .env, .git, backups, instaladores. Cada um representa um risco e deve ser tratado em uma ordem específica.
A categoria mais comum de achados no Shield não são vírus, mas arquivos desnecessários acessíveis a qualquer pessoa. Nenhum deles aparece de propósito: são deixados após migrações, depuração ou atualizações. É nesta lista que começa um ataque ao site.
O que é verificado e quais são os riscos
| Achado | Perigo | Por que é ruim |
|---|---|---|
| .env aberto | Crítico | Senhas do banco de dados, chaves do sistema de pagamento e e-mails: tudo em um único arquivo |
| Arquivo com acesso | Crítico | Configuração com logins acessível publicamente |
| Configuração do CMS acessível | Crítico | Caminho direto para o banco de dados do site |
| Diretório .git aberto | Alto | Todo o código-fonte pode ser restaurado, incluindo senhas já excluídas |
| Backup ou dump | Alto | Pode ser baixado por completo: banco de dados, usuários, pedidos |
| Instalador aberto | Alto | Permite reinstalar o site por cima do que está funcionando |
| phpinfo ou server-status | Médio | Revela a configuração e os caminhos no servidor |
| Listagem de diretórios | Médio | Mostra quais arquivos estão no servidor |
| Versão do servidor nos cabeçalhos | Baixo | Dá aos scanners dicas de quais vulnerabilidades tentar |
Caso da nossa prática
Um instalador público de um miniblog em um dos nossos subdomínios causou um alerta de phishing do Google ao fazer login: não porque o site foi hackeado, mas porque a página de instalação parecia um formulário de coleta de dados. Um arquivo esquecido custou mais do que qualquer vulnerabilidade.Ordem de correção
- Remova os arquivos desnecessários. Backups, dumps, instaladores e páginas de depuração não devem ficar na raiz do site.
- Feche os diretórios de serviço no nível do servidor, não por regras da aplicação.
- Troque tudo o que pode ter vazado. Se o .env ou o dump estava aberto, considere as senhas comprometidas e troque-as.
- Remova as versões dos cabeçalhos: veja cabeçalhos de resposta do servidor.
- Verifique novamente com uma nova varredura.
Por que isso também importa para o SEO
Um site hackeado perde posições rapidamente: a busca o marca como inseguro, e os visitantes veem um aviso do navegador. A recuperação leva semanas. Por isso, a verificação de segurança deve ser feita não depois dos problemas, mas antes, ainda mais porque o modo básico é gratuito.
Perguntas frequentes
Por que um .git aberto é perigoso?
Ele permite restaurar todo o código-fonte do site, incluindo senhas que já estiveram no repositório e depois foram apagadas.
O que fazer se um arquivo com acessos ficou exposto?
Considere as senhas comprometidas e altere todas elas: banco de dados, administrador, e-mail e chaves de pagamento.
Esses problemas afetam o SEO?
Indiretamente: um site invadido por meio deles perde posições e recebe um alerta do navegador, e a recuperação leva semanas.
Este artigo foi útil?
Obrigado! Vamos considerar isso nas próximas atualizações.
Experimente no seu projeto
Tudo o que está descrito no artigo está disponível no painel: o bônus de cadastro já está no seu saldo.
Abrir painel