El .env que se ve desde internet
El fallo más tonto y más común: un fichero con contraseñas o claves accesible desde la web. No hace falta “hackear” nada: se abre con el navegador. Aprende a detectarlo y taparlo.
🎯Qué es y por qué es tan grave
Ficheros con secretos que acaban dentro de la carpeta pública del servidor web y se sirven tal cual. Quien conozca la ruta se lleva credenciales de base de datos, claves de API, tokens... sin explotar nada.
Es el equivalente a dejar las llaves puestas en la puerta: no hay cerradura que forzar.
📄Los clásicos que se cuelan
| .env | Variables con contraseñas de BD, claves de API, secretos de la app. |
| .git/ | Todo el código fuente y su historial (y a menudo credenciales en commits viejos). |
| backup.sql / dump.sql | La base de datos entera descargable. |
| config.php.bak / .swp | Copias de seguridad o temporales con la config real. |
🔎Cómo se comprueba (sin volcar el secreto)
Se verifica la exposición, no el contenido: una petición al propio servicio y mirar el código de respuesta.
RioGuard82 confirma la fuga (HTTP 200 + detecta que el cuerpo tiene forma de secretos) pero nunca muestra el valor: te dice que está expuesto y cuántas líneas sensibles hay, redactadas. Verifica. No supone.