Listowanie katalogów może ujawnić nazwy plików i podkatalogów WordPressa. Na serwerach Apache lub LiteSpeed wyłączysz tę funkcję, dodając dyrektywę Options -Indexes do pliku .htaccess.
Dlaczego wyłączyć przeglądanie katalogów?
Przeglądanie katalogów, nazywane też Directory Listing, pozwala otworzyć adres folderu w przeglądarce i zobaczyć jego zawartość. Zamiast błędu serwer wyświetla wtedy listę plików oraz podkatalogów.
Taki widok nie musi oznaczać bezpośredniego włamania, ale dostarcza osobom atakującym informacji ułatwiających rozpoznanie witryny. Ujawniona struktura plików może pomóc w:
- odnalezieniu podatnych skryptów lub nieaktualnych komponentów,
- poznaniu ścieżek, nazw plików i katalogów na serwerze,
- przygotowaniu prób logowania metodą brute-force,
- wyszukiwaniu danych, które nie powinny być publicznie dostępne.
Jak wyłączyć przeglądanie katalogów w WordPress?
Poniższa metoda dotyczy konfiguracji Apache i LiteSpeed. Zmianę wykonuje się w pliku .htaccess, który zwykle znajduje się w głównym katalogu instalacji WordPressa, często oznaczonym jako public_html.
Przed edycją pobierz kopię pliku .htaccess na komputer. Błędna dyrektywa może spowodować problemy z działaniem witryny, dlatego kopia pozwoli szybko przywrócić poprzednią konfigurację.
- Zaloguj się do serwera przez menedżer plików hostingu, FTP albo SSH.
- Otwórz główny katalog WordPressa i odszukaj plik
.htaccess. Jeśli go nie widzisz, włącz wyświetlanie ukrytych plików. - Otwórz plik w edytorze tekstowym i dodaj dyrektywę w osobnej linii:
Options -Indexes
- Zapisz plik i zamknij edytor.
Nie usuwaj pozostałych reguł znajdujących się w .htaccess. Jeżeli plik zawiera już ustawienia WordPressa, dodaj nową linię bez zmieniania istniejącej treści.
Jak sprawdzić, czy zmiana działa?
Wpisz w przeglądarce adres katalogu, którego zawartość nie powinna być publiczna, na przykład https://twojadomena.pl/wp-content/uploads/. Po poprawnej zmianie serwer powinien odmówić wyświetlenia listy plików i zwrócić błąd 403 Forbidden albo inną stronę odmowy dostępu.
Jeśli nadal widzisz listę plików, sprawdź, czy edytujesz właściwy plik .htaccess oraz czy hosting obsługuje tę dyrektywę. W przypadku serwera Nginx potrzebna jest inna konfiguracja.
