Índices de directorio abiertos: cuando tu servidor de archivos lo lista todo

Elimina o desactiva explícitamente la directiva autoindex en cualquier bloque server o location que sirva directorios controlados por usuarios.

location /uploads/ {
  autoindex off;
  # Serve individual files but never list directory contents
}

La solución más segura es guardar uploads, backups y logs en un directorio que el servidor web no sirva en absoluto. Tu aplicación lee y transmite los archivos a través de una ruta autenticada; la ruta del sistema de archivos nunca es accesible directamente.

Nunca pongas uploads de usuarios ni backups dentro del directorio public/. Sírvelos a través de una ruta de API que pueda exigir autenticación y sanear la ruta solicitada.

// app/api/uploads/[filename]/route.ts
import { getSession } from "@/lib/auth-session";
import { readFile } from "fs/promises";
import path from "path";

export async function GET(
  _req: Request,
  { params }: { params: { filename: string } }
) {
  const session = await getSession();
  if (!session) return new Response(null, { status: 401 });

  // path.basename prevents directory traversal
  const safe = path.basename(params.filename);
  const filePath = path.join(process.cwd(), "private-uploads", safe);
  const data = await readFile(filePath);
  return new Response(data);
}

Si realmente necesitas una interfaz de archivos navegable (una biblioteca de medios, un visor de logs interno), protege la ruta con autenticación en lugar de confiar en que nadie la encuentre.

location /logs/ {
  autoindex on;
  auth_basic "Internal only";
  auth_basic_user_file /etc/nginx/.htpasswd;
}