Algunos de los hallazgos más graves en seguridad no son hackeos complicados, sino archivos que nunca debieron ser públicos: un respaldo comprimido, un archivo de configuración o una copia «vieja» del código dejada en la carpeta del sitio. Cualquiera que adivine la dirección puede descargarlos.
Qué archivos suelen quedar expuestos
- Respaldos como sitio.zip, backup.sql o index.php.bak.
- Archivos de configuración con claves de base de datos (config.php, .env, wp-config.php.old).
- Carpetas de pruebas, de instalación o de «staging».
- Listados de directorio abiertos.
- Archivos de registro (error_log) con rutas y datos internos.
Permisos recomendados
- Carpetas: 755.
- Archivos: 644.
- Archivos de configuración sensibles: 600 o 640, y de ser posible fuera de la carpeta pública.
- Nunca use 777: permite que cualquiera escriba.
Cómo corregirlo
- Busque en la carpeta pública archivos con extensiones .zip, .sql, .bak, .old, .log y .env.
- Muévalos fuera de la carpeta pública o elimínelos.
- Desactive el listado de directorios (en Apache, con Options -Indexes).
- Bloquee con reglas del servidor el acceso a extensiones sensibles.
- Si una clave estuvo expuesta, cámbiela: asuma que alguien pudo verla.
Cómo comprobarlo
Pruebe abrir en el navegador direcciones como suempresa.com/backup.zip o suempresa.com/.env. Debe responder «no encontrado» o «prohibido», nunca descargar el archivo.
Los respaldos se guardan fuera del sitio público. ¿Quiere una revisión de su hosting? Escríbanos.
