Sécurité by Google

[mVdC]

Bonjour,

Je me posais la question dernièrement à savoir pourquoi les serveurs de Google [34.62.82.207] scanne les fichiers de mon site wordpress ?

/.env.bak
/.env.old
/.github/workflows/deploy.yml
/.git-credentials
/.gitlab-ci.yml
/.gitmodules
/.htaccess
/credentials.ini
/database.sql
/storage/logs/laravel.log
/web.config
/wp-config.php.bak
/wp-content/debug.log
/storage/oauth-public.key

 

[hyiptemplates]

Bonjour mVdC,

J'ai eu le même cas sur un de mes WordPress : des scans sur /.env, /wp-config.php.bak, /database.sql... Ce n'est pas le vrai Googlebot, c'est juste un scanner hébergé sur une IP Google Cloud, n'importe qui peut louer une machine là-bas.

De mon côté, j'ai supprimé tous les .bak, .old et .env de la racine, et bloqué ces chemins en 404 dans le .htaccess. Depuis, c'est beaucoup plus calme dans les logs. Regarde aussi les logs de ton serveur pour confirmer la source, ça rassure vite.

 

[mVdC]

Logs du serveur:

[Tue Nov 10 05:57:32 2026] [error] [client 34.62.82.207] ModSecurity: Access denied with code 403 (phase 2). String match within ".asa/ .asax/ .ascx/ .axd/ .backup/ .bak/ .bat/ .cdx/ .cer/ .cfg/ .cmd/ .com/ .config/ .conf/ .cs/ .csproj/ .csr/ .dat/ .db/ .dbf/ .dll/ .dos/ .htr/ .htw/ .ida/ .idc/ .idq/ .inc/ .ini/ .key/ .licx/ .lnk/ .log/ .mdb/ .old/ .pass/ .pdb/ .pol/ .printer/ .pwd/ .resources/ .resx/ .sql/ .sys/ .vb/ .vbs/ .vbproj/ .vsdisco/ .webinfo/ .xsd/ .xsx/" at TX:extension. [file ".../modsecurity_crs_30_http_policy.conf"] [line "87"] [id "960035"] [msg "URL file extension is restricted by policy"] [data ".log"] [severity "CRITICAL"] [tag "POLICY/EXT_RESTRICTED"] [tag "WASCTC/WASC-15"] [tag "OWASP_TOP_10/A7"] [tag "PCI/6.5.10"] [hostname "mavilledecalais.fr"] [uri "/storage/logs/laravel.log"] [unique_id "avKkPGMh3Z9PiwtA-IKjOgAAAVo"]

...66 requêtes

Je vais donc voir à contact l'abuse de Google.

 

[mVdC]

Est-ce réellement une adresse Google Cloud ?

Security Signals

VPN: Not detected
TOR: Not detected
Proxy: Data Center, Scanner
Fraud Score: 99/100

 

[mVdC]

C'est visiblement Google Cloud:

"Hello,

Thank you for reporting abuse on Google Cloud Platform.

We will conduct an investigation based on the information you provided and take appropriate action if necessary. Rest assured that we are strongly committed to preventing spam and abuse on the Google Cloud Platform.

If you would like to request the removal of content from Google's services due to a legal issue, please submit a request using the webform at this Legal Help page.

Please do not hesitate to reach out to us with any additional questions or concerns.

Ticket Reference ID:..."

 

[hyiptemplates]

Merci pour la suite, mVdC. De mon côté, je garde aussi ces requêtes bloquées en 403 et je ne mets pas l'IP en liste blanche, même si elle appartient à Google Cloud : un scanner qui cherche des .env et des .bak n'a rien à faire sur mon site, quelle que soit son origine. Le ticket abuse, dans mon expérience, donne rarement plus qu'un accusé de réception, donc je me contente de surveiller les logs de temps en temps.

 

[mVdC]

Avec la référence de ticket créé, j'ai déjà réussi, après plusieurs relances, à faire fermer un de ces serveurs problématiques.
Mais maintenant beaucoup d'informaticiens créée des serveurs cachés au sein d'une entreprise. et à des fins douteuses.