公開ディレクトリに秘密ファイルを置き忘れていないか：webrootの棚卸し

対象：レンタル/共用サーバーやVPSで、複数のサイトを公開ディレクトリ（public/・public_html/・htdocs/ 等）にデプロイして運用している人。ここでは攻撃手順は扱わず、自分のサーバーを棚卸しして塞ぐことだけを扱います。.envそのものの守り方は 共用サーバーでの.env保護 も参照。

なぜ「公開ディレクトリの置き忘れ」が起きるのか

実際にありがちなのは、便利のために置いたファイルや、ひな形に最初から入っていたファイルが、そのまま公開され続けるパターンです。

たとえば、外部サービス連携のために作ったアクセストークン入りのJSONが、public/ の下に置かれたまま長期間放置される——しかもそれが共通テンプレート由来だと、同じファイルが複数サイトに同じ場所でコピーされ、全部が同じ穴を抱えます。1サイトを直しても、他が空いていれば意味がありません。同様に危ないのは、.env・データベースのバックアップ（.sql）・.git ディレクトリ・エディタのバックアップ（*.bak）・ショートカット等の置き忘れです（関連：パストラバーサル・.envが丸ごと公開された話）。

自分のサーバーを棚卸しする

まず「自分の公開ディレクトリに、秘密らしきファイルが無いか」を機械的に洗い出します。これは自分の資産の点検であって、他者のサイトを覗く行為ではありません。

# 自分のサーバーの公開ディレクトリ配下を棚卸し（自分の資産の点検）
find ~ -path '*/public/*' \( -iname '*token*.json' -o -iname '*credential*.json' \
      -o -iname '*.bak' -o -iname '*.sql' -o -iname '.env*' \) 2>/dev/null
# .git ディレクトリの公開も危険
find ~ -path '*/public/*/.git' -maxdepth 8 2>/dev/null

見つけたときの対応

見つけたら、除去・失効・移動の3点をセットで行います。どれか欠けると塞ぎきれません。

当サイトはどうしているか

当サイトは、秘密（鍵・トークン・接続情報）を公開ディレクトリにもコードのリポジトリにも置かないのを土台にしています。デプロイ成果物に含めるのはビルド済みの公開アセットだけで、秘密は実行環境の環境変数として、配信されない場所に保持します。理由は、この記事の事故クラスが「1つの置き忘れが、URL一発で全部漏れる」典型だからです。置き場所そのものをアクセス制御として設計し、棚卸しは 脆弱性対応の棚卸し と同じタイミングで一緒に回しています。

次に読む

• 技術別：共用サーバーでの.env保護 ／ 脆弱性対応の実務（棚卸し）
• 用語：.envファイルと秘密情報 ／ パストラバーサル
• 事故：.envが丸ごと公開された話
• 保管：秘密の安全な保管