Inventaría todas las vías de acceso
Revisa políticas del bucket, ACL de objetos, bloqueos de acceso público, alojamiento web y enlaces firmados. Comprueba si un principal comodín o lectura anónima se aplica por herencia o configuración predeterminada.
Separa activos públicos y datos privados en buckets o prefijos con políticas distintas. Así, un cambio para imágenes no expondrá también copias de seguridad, exportaciones o documentos subidos.
Verifica la exposición desde fuera
Prueba sin autenticar desde una sesión limpia URL representativas, listados y metadatos. No confíes solo en la etiqueta de la consola; confirma el acceso efectivo por la ruta pública.
Configura alertas o revisiones periódicas y examina plantillas de despliegue que recrean permisos. Si hay exposición, restringe el acceso pronto y evalúa qué datos eran accesibles y qué medidas se requieren.