مجلد public_html في الاستضافة لمشروع laravel

بسبب إعدادات الويب سيرفر سواء Apache أو Nginx فمعظم الاستضافات الحديثة تقوم  بوضع قواعد تمنع الوصول لأي ملف يبدأ بنقطة . والتي تسمى Dotfiles لأسباب أمنية بطبيعة الحال.

تفقد ملف .htaccess لديك على الخادم في حال تستخدم تستخدم Apache، ستجد كود يمنع الوصول للملفات الحساسة.

لكن بعض السيرفرات لا تكون مهيأة بشكل صحيح لمنع الوصول لتلك الملفات، لذا لا يجب أبدًا وضع أية ملفات حساسة في المجلد العام public_html

فالمخترقون لا يقومون بتجربة المواقع بأنفسهم، بل من خلال بوتات تقوم بمسح ملايين المواقع يوميًا، وتجربة روابط ثابتة مثل /.env، /config، /.git.

ولو استجاب الخادم حتى لو عن طريق الخطأ للحظة، سيقوم البوت بتحميل الملف وسرقة بيانات قاعدة البيانات ومفاتيح التشفير.

كذلك في ملف .env لا تنسى تعطيل وضع التطوير:

APP_ENV=production
APP_DEBUG=false

فلو أبقيت على APP_DEBUG=true وحدث أي خطأ في الموقع سيقوم لارافيل بإظهار صفحة خطأ تحتوي على كل المتغيرات في .env بما فيها كلمات المرور للزوار.

بتاريخ 16 دقائق مضت قال Mustafa Suleiman:

بسبب إعدادات الويب سيرفر سواء Apache أو Nginx فمعظم الاستضافات الحديثة تقوم  بوضع قواعد تمنع الوصول لأي ملف يبدأ بنقطة . والتي تسمى Dotfiles لأسباب أمنية بطبيعة الحال.

تفقد ملف .htaccess لديك على الخادم في حال تستخدم تستخدم Apache، ستجد كود يمنع الوصول للملفات الحساسة.

لكن بعض السيرفرات لا تكون مهيأة بشكل صحيح لمنع الوصول لتلك الملفات، لذا لا يجب أبدًا وضع أية ملفات حساسة في المجلد العام public_html

فالمخترقون لا يقومون بتجربة المواقع بأنفسهم، بل من خلال بوتات تقوم بمسح ملايين المواقع يوميًا، وتجربة روابط ثابتة مثل /.env، /config، /.git.

ولو استجاب الخادم حتى لو عن طريق الخطأ للحظة، سيقوم البوت بتحميل الملف وسرقة بيانات قاعدة البيانات ومفاتيح التشفير.

كذلك في ملف .env لا تنسى تعطيل وضع التطوير:

APP_ENV=production
APP_DEBUG=false

فلو أبقيت على APP_DEBUG=true وحدث أي خطأ في الموقع سيقوم لارافيل بإظهار صفحة خطأ تحتوي على كل المتغيرات في .env بما فيها كلمات المرور للزوار.

ماذا عن ملفات compser و package هل وجودهم في public_html لا يضر؟ لان جربت احول الوصول لهم لكن لم يسمح لي. استخدمت استضافة hostinger و لم يحدث شيء. اين يجب ان اضع هذه الملفات؟ , لاني بحثت في الانترنت ولم اجد شيء. و هل يحق لي استخدامت ادوات التهكير لاجرب موقعي للتاكد من الامان ام هذا ممنوع؟ بسبب اني استخدم استضافة من hostinger و يمكن يبطء السيرفر .