# Fajls tal-backup fil-webroot: .zip, .sql u .bak

> Fajls tal-backup fil-webroot jistgħu jitgħabbew minn kulħadd. Hekk issib fajls .zip, .sql u .bak, tibblokkahom u tivverifika jekk ġewx mitluba.

Sors: https://phpsos.de/mt/blog/backup-dateien-im-webroot/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Fajls tal-backup fil-webroot, jiġifieri dumps tad-database (`.sql`), arkivji (`.zip`, `.tar.gz`) u kopji ta' sigurtà (`.bak`, `.old`, `~`), jistgħu jitniżżlu minn kull min jaf jew jiddeduċi l-isem tal-fajl. Fittxu fajls bħal dawn regolarment b'`find`, ċaqilqu l-backups barra mid-direttorju pubbliku, ibblukkaw estensjonijiet tipiċi fis-server tal-web u ivverifikaw fil-protokolli tal-aċċess jekk diġà ġewx mitluba.

## Il-backup li jsir tnixxija

Ftit qabel aġġornament xi ħadd joħloq backup malajr: `backup.zip` fid-direttorju prinċipali, maġenbu `datenbank.sql`. L-aġġornament jirnexxi, il-fajls jibqgħu hemm. Xhur wara għadhom hemm, bil-kodiċi kollu, id-data kollha tal-klijenti u d-dettalji tal-aċċess tal-websajt.

Dan il-mudell huwa fost is-sejbiet l-aktar frekwenti fil-verifiki ta' web servers. Ma jeħtieġx exploit u lanqas vulnerabbiltà f'PHP. Server tal-web jagħti mill-webroot dak li jinsab hemm, u arkivji jew fajls SQL ma jeżegwihomx, imma joffrihom għat-tniżżil.

Arkivju tal-websajt fih mhux biss data, imma wkoll il-kodiċi mal-konfigurazzjoni. Min iniżżlu jista' jfittex il-vulnerabbiltajiet bil-kalma u jaf id-dettalji tal-aċċess tad-database.

Scanners awtomatizzati jfittxu b'mod mirat ismijiet tipiċi bħal `backup.zip`, `site.tar.gz` jew `dump.sql`, spiss ikkombinati mal-isem tad-domain jew ma' data. Min jemmen li isem mhux tas-soltu jipproteġi, jissottovaluta kemm tfittxija bħal din taħdem b'mod sistematiku.

## Liema fajls huma magħmula

Fajls tal-backup fil-webroot jidhru f'diversi forom:

| Tip | Estensjonijiet tipiċi | X'hemm ġewwa |
|---|---|---|
| Dumps tad-database | `.sql`, `.sql.gz`, `.dump` | data tal-klijenti, ordnijiet, hashes tal-passwords, issettjar |
| Arkivji tal-websajt | `.zip`, `.tar`, `.tar.gz`, `.tgz`, `.rar`, `.7z` | kodiċi kollu, konfigurazzjoni, uploads |
| Kopji ta' fajls individwali | `.bak`, `.old`, `.orig`, `.save`, `.php~`, `.copy` | spiss fajls ta' konfigurazzjoni b'dettalji tal-aċċess |
| Bqija ta' editors | `.swp`, `.swo`, `~` fl-aħħar | partijiet ta' fajls li jkunu qed jiġu editjati |
| Backups ta' plugins | sottofolders proprji fis-CMS | backups kompluti, parzjalment b'ismijiet li jistgħu jiġu ddeduċuti |

Partikolarment delikati huma kopji ta' fajls ta' konfigurazzjoni. Il-fajl oriġinali `config.php` is-server jeżegwih, il-kontenut tiegħu jibqa' moħbi. Il-kopja `config.php.bak` jagħtiha bħala test, flimkien mal-password tad-database.

## Sib il-backup fil-webroot: tfittxija fuq is-server

It-tfittxija li ġejja telenka fajls suspettużi taħt il-webroots b'data u daqs. Adattaw il-mogħdijiet għas-server tagħkom:

```bash
find /var/www /srv/www -type f \( \
  -iname '*.sql' -o -iname '*.sql.gz' -o -iname '*.dump' -o \
  -iname '*.zip' -o -iname '*.tar' -o -iname '*.tar.gz' -o -iname '*.tgz' -o \
  -iname '*.rar' -o -iname '*.7z' -o \
  -iname '*.bak' -o -iname '*.old' -o -iname '*.orig' -o -iname '*.save' -o \
  -iname '*~' -o -iname '*.swp' \) \
  -printf '%TY-%Tm-%Td  %10s  %p\n' 2>/dev/null | sort
```

Mhux kull hit huwa problema. Xi arkivji huma maħsuba apposta għat-tniżżil, pereżempju manwali. Kull fajl, madankollu, jistħoqqlu deċiżjoni konxja. Oqogħdu attenti partikolarment għal fajls kbar u għal folders ta' plugins tal-backup. B'shared hosting mingħajr aċċess għal shell tgħin il-ħarsa ġenerali tal-fajls fil-panel tal-hosting jew sejħa permezz ta' SFTP.

> **Aġixxu immedjatament:**
> Jekk issibu dump tad-database b'data tal-klijenti fil-webroot, ċaqilquh minnufih mid-direttorju pubbliku u żommu l-protokolli tal-aċċess qabel ma jiġu rotati. Biss wara ċċaraw jekk il-fajl ġiex mitlub.

## Il-fajl diġà ġie mniżżel?

It-tweġiba tinsab fil-protokolli tal-aċċess tas-server tal-web. Infittxu talbiet b'suċċess, jiġifieri status 200, għall-fajls misjuba:

```bash
# Talbiet b'suċċess ta' estensjonijiet tipiċi ta' backup (format Combined tal-log)
zgrep -hE '\.(sql|sql\.gz|zip|tar|tgz|gz|bak|old|7z|rar)[ ?]' /var/log/nginx/access.log* \
  | awk '$9 == 200 {print $4, $1, $7, $10}'
```

L-output juri l-ħin, l-indirizz, il-mogħdija u d-daqs tat-tweġiba. Jekk id-daqs trasferit jikkorrispondi għad-daqs tal-fajl, il-fajl ġie mgħobbi kollu. Kemm lura jilħqu l-protokolli jiddependi mir-rotazzjoni. Jekk ma jilħqux sad-data tal-ħolqien tal-fajl, talba preċedenti ma tistax tiġi eskluża. Dan jiddeskrivih fid-dettall [Evalwa l-logs tas-server tal-web wara attakk](https://phpsos.de/mt/ratgeber/logfiles-auswerten/). Mingħajr aċċess għall-protokolli mhux ipproċessati, pereżempju b'shared hosting, staqsu lill-hoster għall-protokolli għall-perjodu kkonċernat.

Jekk dump b'data personali ġie mitlub jew dan ma jistax jiġi eskluż, tibda l-verifika ta' obbligu ta' notifika. Il-bażijiet jiġbor [Obbligu ta' notifika tal-GDPR: 72 siegħa wara l-inċident](https://phpsos.de/mt/compliance/dsgvo-meldepflicht-72-stunden/); il-valutazzjoni fil-każ individwali tappartjeni għand l-uffiċjal tal-protezzjoni tad-data tagħkom. Dettalji tal-aċċess minn fajls mitluba tibdluhom fi kwalunkwe każ.

## Plugins tal-backup, panels u trasferimenti

Ħafna sejbiet jirriżultaw minn plugins tal-backup ta' CMS u ħwienet. Spiss iżommu backups f'sottofolder tal-webroot, parzjalment b'ismijiet minn data u domain li jistgħu jiġu ddeduċuti. Ivverifikaw f'kull plugin tliet issettjar: Fejn isir il-backup? Kopji lokali jitħassru wara l-upload lejn mira esterna? Il-folder lokali huwa protett kontra talba diretta?

Backups minn panels tal-hosting ġeneralment jinsabu barra mill-webroot, pereżempju fid-direttorju home. Isir problematiku meta xi ħadd jikkopja backup bħal dan fil-webroot, għax it-tniżżil fil-browser huwa aktar komdu minn SFTP. Għal trasferimenti għalhekk japplika: trasferiment permezz ta' SFTP jew direttament bejn is-servers, qatt permezz ta' link pubbliku.

Jekk aġenziji jew fornituri tas-servizzi jieħdu ħsieb il-websajts tagħkom, din ir-regola għandha tidher ukoll fil-kuntratt, flimkien mal-obbligu li jnaddfu wara xogħlijiet ta' manutenzjoni. Tagħrif jagħti [Kuntratti ma' fornituri tal-IT: ittrattaw b'mod ċar l-obbligi ta' sigurtà](https://phpsos.de/mt/blog/dienstleistervertrag-sicherheit/).

## Evita b'mod permanenti: post tal-ħażna u blokki

Biex il-problema ma terġax isseħħ, jeħtieġu żewġ livelli. L-ewwel huwa organizzattiv: il-backups għandhom post fiss barra mill-webroot u barra minn hekk barra mis-server. Kif jidher backup solidu jiddeskrivi l-gwida [Backups skont ir-regola 3-2-1](https://phpsos.de/mt/ratgeber/backups-3-2-1/).

It-tieni livell huwa tekniku: is-server tal-web jirrifjuta estensjonijiet tipiċi ta' backup fil-prinċipju, anke jekk xi darba fajl jibqa' hemm.

```nginx
location ~* \.(sql|sql\.gz|dump|bak|old|orig|save|swp|swo)$ {
    return 404;
}
location ~ ~$ {
    return 404;
}
```

Arkivji bħal `.zip` tibblokkawhom biss jekk il-websajt tagħkom ma toffrix downloads f'dan il-format, jew b'mod mirat fid-direttorji fejn m'hemmx downloads. Jgħinu wkoll tfittxija awtomatika regolari b'notifika u regola qasira fit-tim: l-ebda backup u kopja fil-webroot, anke mhux għal ħames minuti. Każijiet relatati bħal fajls moħbija ta' konfigurazzjoni jittratta [Ipproteġi sewwa d-dettalji tal-aċċess u l-fajls .env](https://phpsos.de/mt/blog/env-dateien-schuetzen/).

## Kif tgħin PHP SOS b'mod konkret?

- Infittxu fil-webroots tagħkom għal dumps, arkivji, kopji u backups ta' plugins u nevalwaw kull sejba.
- Nivverifikaw permezz tal-protokolli tal-aċċess jekk fajls ġewx mitluba u niddokumentaw ir-riżultat għall-valutazzjoni tal-protezzjoni tad-data tagħkom.
- Nistabbilixxu blokki fis-server tal-web u tfittxija awtomatika regolari.
- Ninżlu l-backups f'post protett barra mill-webroot.

Dawn ix-xogħlijiet huma parti mill-[Hardening tas-server għal servers tal-web PHP](https://phpsos.de/mt/leistungen/server-haertung/) tagħna.


## Mistoqsijiet frekwenti

**Għaliex il-backups jispiċċaw fil-webroot fl-ewwel lok?**  
Ġeneralment minħabba komdità: dump jinħoloq għal trasferiment, plugin iħalli backups fil-folder tiegħu, jew qabel bidla malajr issir kopja ta' fajl bl-estensjoni .bak. Wara l-fajl jintesa.

**Kemm hu perikoluż fajl bħal config.php.bak?**  
Ħafna. Fajl bl-estensjoni .php jiġi eżegwit mis-server u l-kontenut tiegħu jibqa' moħbi. Kopja b'estensjoni oħra, għall-kuntrarju, is-server ġeneralment jagħtiha bħala test, flimkien mal-password tad-database u ċ-ċwievet.

**Dump tad-database li jista' jinġieb pubblikament huwa ksur tad-data?**  
Jekk fih data personali u ġie mitlub, jew jekk talba ma tistax tiġi eskluża, jidħol fil-kunsiderazzjoni obbligu ta' notifika skont il-GDPR. Il-valutazzjoni fil-każ individwali tagħmilha l-uffiċjal tal-protezzjoni tad-data jew il-konsulent legali tagħkom.

**Fejn għandhom jinżammu l-backups minflok?**  
Barra mill-webroot u barra minn hekk barra mis-server, skont ir-regola 3-2-1. Mill-inqas kopja waħda għandha tinżamm b'mod li s-server tal-web innifsu ma jkunx jista' jħassarha jew ibiddilha.

## Sorsi

- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [GDPR Art. 33: notifika lill-awtorità superviżorja](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Dokumentazzjoni ta' Nginx](https://nginx.org/en/docs/)