Was auf Ihrer Website niemand lesen sollte

Was sich über die Jahre ansammelt

Eine Website, die seit Jahren läuft, ist meist durch mehrere Hände gegangen. Jemand hat vor einem Update rasch eine Sicherung gezogen, jemand anderes hat für die Fehlersuche ein Protokoll eingeschaltet und es danach vergessen. Was dabei liegen bleibt, landet oft im selben Ordner wie die Website selbst. Damit ist es über eine einfache Adresse abrufbar.

Typisch sind diese Dateien:

• Fehlerprotokolle wie error_log oder debug.log. Darin schreibt der Server jeden Fehler mit, samt Ordnerpfaden und Versionsnummern.
• Backup-Archive mit der Endung .zip oder .tar.gz. Eine Sicherung enthält die ganze Website, oft auch die Datei mit dem Passwort der Datenbank.
• Alte Kopien wie wp-config.php.bak. Der Server zeigt sie oft als gewöhnlichen Text an, samt allem, was im Programmcode steht.
• Der Ordner .git einer Versionsverwaltung. Darin steckt die Geschichte des ganzen Programmcodes, manchmal auch ein Passwort, das längst gelöscht schien.
• Notizen, die ein früherer Betreuer für sich oder seinen Nachfolger abgelegt hat.

Einzeln wirkt keine dieser Dateien dramatisch. Zusammen verraten sie, wie eine Website eingerichtet ist, welche Versionen darauf laufen und im ungünstigsten Fall, mit welchem Passwort man hineinkommt.

Anfang November haben wir bei einer WordPress-Installation, die wir betreuen, ein Fehlerprotokoll aus dem Jahr 2022 gefunden. Drei Megabyte, lesbar für jeden, der die Adresse kannte. Inzwischen liegt es nicht mehr im öffentlichen Ordner und ist gesperrt.

Der Selbsttest in zehn Minuten

Den Test machen Sie auf Ihrer eigenen Website, mit dem Browser, den Sie ohnehin offen haben. Ersetzen Sie ihre-domain.ch durch Ihre Adresse und tippen Sie nacheinander ein:

1. ihre-domain.ch/wp-content/debug.log ist das Protokoll, das WordPress im Fehlersuchmodus schreibt.
2. ihre-domain.ch/error_log und ihre-domain.ch/wp-admin/error_log sind Fehlerprotokolle, die viele Server von selbst in dem Ordner anlegen, in dem ein Fehler auftritt.
3. ihre-domain.ch/.git/config zeigt, ob der Ordner der Versionsverwaltung offen liegt.
4. ihre-domain.ch/backup.zip und der Name Ihrer Domain als Archiv, etwa ihre-domain.ch/ihre-domain.zip. So heissen Sicherungen häufig.
5. ihre-domain.ch/wp-content/uploads/ ist der Ordner mit Ihren Bildern und Dokumenten.

Gut ist eine Fehlerseite mit 403 oder 404 oder Ihre Startseite. Beim Ordner uploads ist auch eine leere Seite in Ordnung. Zeigt der Browser dagegen Textzeilen oder eine Liste mit Dateinamen, oder startet ein Download, dann haben Sie einen Fund.

Läuft Ihre Website ohne WordPress, fallen die Adressen mit wp- weg. Die übrigen gelten genauso.

Wenn etwas aufgeht

Löschen Sie die Datei nicht gleich selbst. Ein Fehlerprotokoll kann später erklären, was passiert ist, und ein altes Backup ist manchmal das einzige, das es noch gibt.

Melden Sie den Fund der Person oder Firma, die Ihre Website betreut, oder Ihrem Hosting-Anbieter. Ihr Betreuer verschiebt die Datei dann aus dem öffentlichen Ordner und sperrt solche Dateien auf dem Server, damit auch die nächste nicht abrufbar ist.

War ein Backup, eine Kopie der Konfiguration oder der Ordner .git lesbar, kommt ein Schritt dazu. Ändern Sie die Passwörter, die darin stehen könnten: das Passwort der Datenbank, den Zugang zum Hosting und die Konten aller, die Ihre Website verwalten.

Was dauerhaft hilft

Ein einmaliger Test findet, was jetzt herumliegt. Damit nichts nachkommt, braucht es vier Grundregeln:

• Der Server sperrt solche Dateien grundsätzlich, auch die, die später jemand anlegt.
• Der Fehlersuchmodus ist auf der Live-Website aus. WordPress rät selbst davon ab, ihn auf einer öffentlichen Website zu verwenden.
• Backups liegen ausserhalb des Ordners, den der Server öffentlich ausliefert.
• Testkopien der Website sind mit einem Passwort geschützt oder gar nicht erst öffentlich.

Wenn Sie lieber nicht selber tippen, schauen wir gern für Sie nach.