# Archivos Sensibles

| Archivo | Existe local | HTTP sin login | Riesgo | Nota |
|---|---:|---:|---|---|
| `/admin/.env` | No detectado | 403 | Bajo | Dotfile bloqueado/no existente |
| `/admin/config.inc.php` | Si | 200, 0 bytes | Medio | PHP ejecuta sin revelar contenido; bloquear descarga/source sigue siendo critico |
| `/admin/composer.json` | Si | 200 | P0 | Descarga manifiesto completo |
| `/admin/composer.lock` | Si | 200 | P0 | Descarga versiones exactas |
| `/admin/config.db.php` | Si | No probado para contenido | Alto si fuente se expone | No se imprimio contenido |
| `/admin/config.csrf-secret.php` | Si | No probado para contenido | Alto si fuente se expone | No se imprimio contenido |

Nunca se mostro contenido sensible de configuraciones. Los hallazgos se limitan a existencia y accesibilidad HTTP.