Guide · 3 min de lecture
Bloquez les fichiers exposés .git, .env et sauvegardes
Un .env ou un backup.sql oublié à la racine web peut révéler tous vos mots de passe et clés d’API. La vérification prend une minute, et le blocage quelques lignes.
Le code et la configuration restent en anglais.
Vérifiez votre propre site
Chacun de ces chemins doit renvoyer 403 ou 404, jamais 200 :
shell
curl -s -o /dev/null -w '%{http_code}\n' https://example.com/.env
curl -s -o /dev/null -w '%{http_code}\n' https://example.com/.git/HEAD
curl -s -o /dev/null -w '%{http_code}\n' https://example.com/backup.sqlNe vérifiez que des sites qui vous appartiennent. L’analyse approfondie de HackGrade teste bien plus de chemins, une fois la propriété vérifiée.
Les bloquer sur nginx
nginx
# hidden files and folders (.git, .env, .htpasswd), but keep /.well-known working
location ~ /\.(?!well-known/) { deny all; }
# backups and dumps
location ~* \.(sql|bak|old|orig|swp|log)$ { deny all; }Les bloquer sur Apache
.htaccess
RedirectMatch 404 "/\.(git|svn|hg)(/|$)"
<FilesMatch "(^\.env|\.(sql|bak|old|orig|swp|log)$|~$)">
Require all denied
</FilesMatch>
Options -IndexesSi quelque chose a été exposé
- Supprimez le fichier de la racine web. Conservez les sauvegardes en dehors.
- Partez du principe que le contenu a été copié : changez les mots de passe de la base de données et renouvelez chaque clé d’API et chaque jeton qu’il contient.
- Pour un dossier
.gitexposé, examinez aussi l’historique des commits à la recherche de secrets qui y auraient été enregistrés.