Português
English
Abre um endereço do seu site e, em vez de uma página, aparece uma lista de ficheiros em texto simples, com nomes, tamanhos e datas. Isso é o servidor a dizer-lhe que aquela pasta não tem página inicial, e a mostrar o que lá está dentro em vez de nada.
Quem chega a esta lista por causa de um domínio acabado de apontar deve ler antes ver o site antes de o domínio apontar, que trata do mesmo ecrã por outro motivo. Este artigo é sobre a definição em si, e sobre porque é que ela é um problema de segurança mais vezes do que parece.
A regra, em duas linhas
Quando alguém pede uma pasta do seu site, o servidor procura lá dentro um ficheiro de página inicial. Se o encontra, mostra a página. Se não o encontra, tem de decidir entre duas coisas: mostrar a lista dos ficheiros, ou recusar. A ferramenta que decide isso chama-se Indexes e está na secção Advanced do cPanel.
A escolha faz-se pasta a pasta, e o que escolher numa pasta vale também para as pastas dentro dela, até alguma delas dizer outra coisa.
| Uma pasta com listagem ligada é um menu público. Facturas antigas, cópias de segurança, fotografias por publicar, ficheiros de um cliente: se estão numa pasta do site sem página inicial, qualquer pessoa que adivinhe o nome da pasta vê a lista inteira e transfere o que quiser. E os motores de busca indexam essas listas, o que quer dizer que nem sequer é preciso adivinhar. Verifique hoje as pastas onde guarda ficheiros. |
O que fazer em cada caso
| Situação | O que fazer |
| Uma pasta do site normal, com conteúdo que devia ter página | Ponha lá a página inicial. É a cura verdadeira: deixa de haver lista porque deixa de haver razão para ela. |
| Pastas de sistema de uma aplicação, com imagens, folhas de estilo e código | Desligue a listagem. O visitante nunca precisa de ver esses nomes, e quem anda à procura de vulnerabilidades sim. |
| Uma pasta com ficheiros privados | Desligar a listagem não chega. Veja o aviso a seguir. |
| Uma pasta de transferências que quer mesmo que as pessoas possam percorrer | Deixe ligada, e trate-a como pública, porque é. |
| Desligar a listagem não é privacidade. O ficheiro continua lá e continua a abrir para quem souber o nome completo. Deixa só de haver um índice a facilitar. Para privacidade a sério há duas opções, e ambas são melhores: pôr palavra-passe à entrada da pasta, com a ferramenta Directory Privacy da secção de ficheiros, ou tirar os ficheiros de dentro da pasta pública do site e servi-los por código, só a quem tem sessão iniciada. |
O que o visitante vê depois de desligar
Deixa de aparecer a lista e passa a aparecer uma recusa, do género das páginas de erro do servidor. Isso é normal e é o que se quer, mas é feio, e há duas maneiras de o tornar menos feio.
|
|
Se a recusa aparece onde não devia, o assunto já é outro e está escrito em erro 403 Forbidden e em erros do site explicados.
| Faça a ronda uma vez. Percorra as pastas do seu site que não têm página inicial e olhe para cada uma como um estranho olharia. Leva vinte minutos, faz-se uma vez, e é das poucas verificações de segurança que qualquer pessoa consegue fazer sem saber nada de técnica. |
Esta definição escreve-se num ficheiro de configuração dentro da pasta. Se preferir mexer nele directamente, a ferramenta faz o mesmo com menos hipóteses de engano, e por isso é a que recomendamos.
|
Encontrou uma pasta a mostrar o que não devia? Ajudamos a fechar e a perceber quem lá foi. Abrir um pedido de suporte |
|
VEJA TAMBÉM |
PRODUTO RECOMENDADO Alojamento de sites com cPanel Domínio e SSL incluídos, cópias diárias e o painel que já conhece. desde 600,00 MT/mês Ver planos |
- 0 Utilizadores acharam útil
