Тестовая копия сайта в интернете: забытый адрес с боевыми данными

Перед релизом делают копию: test.site.by, dev, staging, или папку со старым годом в имени. На ней удобно показывать правки. Потом про неё забывают. Копия остаётся в интернете, с формой, с админкой и иногда с базой, которую обновили «чтобы было как на боевом». Пароль там проще, заголовки никто не выставлял, а поисковик уже привёл на неё человека.

Чем такая копия опаснее боевого сайта

• На ней выключены ограничения, которые на боевом включали в последний момент.
• Вход admin или пароль из инструкции для заказчика.
• База с живыми заявками, потому что «так проще проверить письма».
• Сертификат просрочен, и сотрудники привыкли нажимать «всё равно открыть».

Рабочее правило короткое. Тестовый адрес не смотрит в интернет без пароля на весь сайт. Боевые данные туда не копируют. После сдачи адрес выключают или он умирает вместе с задачей. Если копия нужна надолго, у неё отдельный секрет и её нет в поиске.

В аудите Lexora такие адреса всплывают сразу: забытый поддомен часто интереснее главной. Новым клиентам базовый проход бесплатный. Если на копии уже была база, относимся к этому как к инциденту и смотрим, что с неё могли забрать, а не просто «закрываем папку». Пентест боевого сайта при живом staging без пароля почти бессмысленно начинать с витрины.