# Riesgos en Webroot Publico

## Archivos y carpetas sensibles

- `admin/gravimex.zip` (~72.9 MB): backup/paquete grande en webroot. P0.
- `admin/cache/*.zip`: paquetes Project/ProjectTask/ProjectMilestone.
- `admin/packages/vtiger/**/*.zip`: paquetes instalables/idiomas/extensiones.
- `admin/libraries/jquery/pdfjs/web/web.tar` y `web.tar.gz`.
- `admin/test/`: uploads, logos, templates, migration y plantillas temporales.
- `admin/migrate/`: herramienta de migracion.
- `admin/pkg/`: scripts de arranque/parada/migracion empaquetados.
- `admin/kcfinder/`: browser/uploader de archivos.
- `admin/logs/`, `admin/storage/`, `admin/user_privileges/`: protegidos parcialmente por `.htaccess`, revisar en servidor real.
- `config*.php`: deben permanecer no descargables y con permisos restrictivos.

## Archivos ejecutables publicos

- `index.php`, `webservice.php`, `public.php`, `vtigercron.php`, `modules/CustomerPortal/api.php`, `modules/Mobile/api.php`, `modules/Webforms/capture.php`, callbacks PBX.

## Riesgos

- Descarga de backup puede exponer todo el codigo y configuracion.
- KCFinder + `test/upload` aumenta superficie de subida de archivos.
- Herramientas de migracion/test no deberian estar publicas en produccion.
- Paquetes comprimidos pueden revelar versiones y facilitar fingerprinting.