Открытый файл с паролями на сайте: что делать в первый час

На хостинге рядом с сайтом часто лежит файл настроек: пароль базы, ключ почты, доступ к платёжке. Он нужен серверу и не нужен посетителю. Ошибка конфигурации отдаёт его как обычную страницу. Это не редкая атака. Это забытая настройка, которую потом находят и роботы, и люди.

Первый час важнее красивого отчёта. Файл закрывают от раздачи. Секреты, которые в нём были, считают известными и меняют: база, почта, API, платёжный ключ. Старый пароль «на всякий случай» не оставляют. Потом смотрят, входили ли с ним в админку и не появился ли на сайте чужой пользователь. Скачивать файл себе пачкой и пересылать в чат не стоит: вы размножаете секрет.

Чтобы это не вернулось с деплоем

• Файл настроек не лежит в каталоге, который веб-сервер раздаёт как страницы.
• Служебные каталоги и старые копии сайта не открываются по прямой ссылке.
• Сборка не выкладывает на боевой сайт то, что лежало только на компьютере разработчика.
• После смены пароля обновляют и копию, из которой поднимают сайт. Иначе откат вернёт секрет.

Lexora в такой ситуации работает как реагирование, если файл уже был доступен, и как аудит, если вы хотите проверить, не торчит ли ещё что-то рядом. Новым клиентам базовый аудит бесплатный, но открытый файл с паролями - это уже не «базовая гигиена на следующей неделе». Пентест после смены секретов полезен, чтобы понять, не осталось ли входа, который файл только подсказал.