Bốn thứ tuyệt đối không được để lọt lên mạng cùng trang của anh chị

Chuyện thường gặp

Anh chị làm xong trang web, tải lên hosting (chỗ thuê để đặt trang web trên mạng), mở ra thấy chạy tốt. Thế là yên tâm.

Nhưng phần mềm đẩy lên mạng thường đẩy cả thư mục, gồm cả file anh chị dùng để làm việc. Những file đó không hiện trên trang, nhưng có địa chỉ. Ai đoán đúng là tải về được, không cần mật khẩu.

Bên em từng dính: một tài liệu bán mấy trăm nghìn nằm trần ngoài mạng nhiều ngày vì đẩy cả thư mục làm việc.

Vì sao: cái gì nằm trong thư mục web là công khai

Anh chị chỉ cần một thói quen: đẩy lên cái gì thì mở ra nhìn cái đó.

Cái gì nằm trong thư mục web thì công khai, trừ khi chặn riêng. Thư mục đó thường tên public_html, nơi chứa trang web trên hosting.

Không hiện trên trang không có nghĩa là người ngoài không lấy được. Máy dò tự động (chương trình tự thử hàng nghìn địa chỉ mỗi ngày) tìm ra gần hết tên hay gặp.

Cách làm: dọn 4 nhóm

Bước 1. Mật khẩu và khoá. Mở index.html và các file trang khác. Soi xem có dòng nào chứa mật khẩu hosting, khoá bot Telegram (chương trình tự nhắn tin) hay khoá dịch vụ nào không. Có là xoá ngay. Mã trang ai cũng đọc được: bấm chuột phải, chọn xem nguồn trang là thấy hết. Khoá nên để trên máy chủ (máy của nhà cung cấp hosting, nơi trang web nằm). Ví dụ: phần cài đặt của Apps Script (công cụ của Google chạy mã nhỏ). Đã lộ thì xoá xong phải đổi mật khẩu hoặc khoá mới, vì cái cũ coi như người lạ đã thấy. Đừng dùng chung một mật khẩu cho nhiều web.

Bước 2. Ghi chú và bản nháp. Vào public_html, tìm các đuôi file (mấy chữ sau dấu chấm cuối tên file) này:

.md  .txt  .doc  .docx  .xlsx  .bak  .old  .zip  .rar  .sql

Tải về máy, rồi xoá trên máy chủ. Đừng xoá robots.txt, sitemap.xml, .htaccess (file chỉ đường cho Google, file cài đặt máy chủ), cũng đừng xoá trang, ảnh, kiểu chữ đang dùng.

Bước 3. Hàng bán và tài liệu tặng khách. Đây là chỗ mất tiền thật. File bán để thẳng trong public_html thì ai thử địa chỉ như tencuatoi.com/tai-lieu.pdf là tải về miễn phí. Cách đúng: để file hàng ra ngoài public_html, làm trang trung gian kiểm tra khách trả tiền xong mới đưa file. Chưa làm ngay được thì đặt tên file thật dài, khó đoán. Đó chỉ là tạm, chưa phải cách đúng.

Bước 4. Thông tin khách. Tìm mọi file có số điện thoại, địa chỉ, ảnh giấy tờ, đơn hàng, như leads.csv hay thư mục uploads. Lọt ra ngoài là chuyện nghiêm trọng. Chuyển hết khỏi thư mục web, danh sách khách để trong Google Sheet.

Muốn rà nhanh, nhờ máy chia giúp. Dán lệnh:

Tôi sắp tải thư mục này lên hosting, tôi không biết lập trình.
Danh sách file: [dán tên file vào đây]
Chia 3 cột: phải lên mạng / cấm lên mạng / cần tôi tự mở kiểm.
Với cột cấm lên, ghi hậu quả nếu lọt ra ngoài. Không cần mã lập trình.

Ba chỗ hay sai.

• Xoá trên máy mà quên xoá trên máy chủ. Hai nơi này khác nhau.
• Nghĩ không ai biết đường dẫn thì yên tâm. Máy dò đoán được.
• Dọn một lần rồi thôi. Lần đẩy sau rác lại lên, nên mỗi lần đẩy soi danh sách thêm 2 phút.

⏱ Việc 10 phút

Làm ngay trong 10 phút

1. Vào phần quản lý file của hosting, mở public_html.

2. Tìm các đuôi file ở bước 2 và mọi thư mục lạ. Ghi chú, bản nháp, danh sách khách: tải về máy, rồi xoá trên máy chủ.

3. Soi nhóm mật khẩu: mở trang của anh chị, bấm chuột phải, chọn xem nguồn trang, bấm Ctrl+F rồi gõ lần lượt password, token, key. Thấy dòng nào đáng ngờ thì báo bên em.

4. Gõ thử địa chỉ file vừa xoá vào trình duyệt. Hiện "không tìm thấy" là đã sạch.

File nào không chắc là gì thì tải về máy trước, chưa xoá vội.

Tôi làm rồi