Index de répertoires ouverts : quand votre serveur de fichiers liste tout

Supprimez ou désactivez explicitement la directive autoindex dans tout bloc server ou location qui sert des répertoires contrôlés par les utilisateurs.

location /uploads/ {
  autoindex off;
  # Serve individual files but never list directory contents
}

La solution la plus sûre consiste à stocker uploads, sauvegardes et logs dans un répertoire que le serveur web ne sert pas du tout. Votre application lit et diffuse les fichiers via une route authentifiée — le chemin brut du système de fichiers n'est jamais accessible.

Ne placez jamais les uploads des utilisateurs ou les sauvegardes dans le répertoire public/. Servez-les via une route API capable d'imposer l'authentification et d'assainir le chemin demandé.

// app/api/uploads/[filename]/route.ts
import { getSession } from "@/lib/auth-session";
import { readFile } from "fs/promises";
import path from "path";

export async function GET(
  _req: Request,
  { params }: { params: { filename: string } }
) {
  const session = await getSession();
  if (!session) return new Response(null, { status: 401 });

  // path.basename prevents directory traversal
  const safe = path.basename(params.filename);
  const filePath = path.join(process.cwd(), "private-uploads", safe);
  const data = await readFile(filePath);
  return new Response(data);
}

Si vous avez réellement besoin d'une interface de fichiers navigable (une médiathèque, un visualiseur de logs interne), protégez le chemin par une authentification plutôt que de compter sur le fait que personne ne le trouvera.

location /logs/ {
  autoindex on;
  auth_basic "Internal only";
  auth_basic_user_file /etc/nginx/.htpasswd;
}