セキュリティーガイド

ウェブサーバにもよりますが、設定ファイルである

が、素で見えてしまうという問題があります (たいていの場合、CGI と解釈されて、エラーになりますが)。この中には crypt 後のパスワードも含まれているため、時間をかければパスワードを推定することも可能です。

そのため、この設定ファイルの内容を隠すための対策の実施を推奨いたします。（以下、ワークディレクトリを wifky.dat としますが、各ユーザ環境のワークディレクトリ名に読み変えてください）

CGI実行サーバ上のファイル自体が元々ウェブでは見えないようになっているため、この問題はありません。対処不要です。

「deny from all」という一文だけの、.htaccess を wifky.dat 直下に置くことで、設定ファイルを含む、 wifky.dat以下のファイルの直接アクセスを禁止することができます。

ファイル名の先頭にピリオドがついています。ご注意ください。
ウェブサーバの設定によっては、 .htaccess というファイル名でない場合もありますし、使えない場合もあります。
- isweb (ベーシック)では isweb_htaccess というファイル名だそうです。
ご参考：ミケネコの htaccess リファレンス

FTP ツールを使い、wifky.dat のパーミッションを 744 あるいは 700 にします。

ディレクトリの実行属性を落とすことにより、ウェブサービスの chdir を封じ、結果的に直接閲覧を防ぐことができるようです。

「管理ツール」→「インターネットインフォメーションサービス」から wifky.dat のプロパティを開いて「ディレクトリ」タブの「読み取り」チェックを外します。

以上、NoGood 様・Scops 様情報提供ありがとうございました。