Faça inventário de todas as formas de acesso
Revise políticas do bucket, ACLs de objetos, bloqueios de acesso público, hospedagem de site e links assinados. Confira se um principal curinga ou leitura anônima se aplica por herança ou configuração padrão.
Separe ativos públicos de dados privados em buckets ou prefixos com políticas distintas. Isso reduz o risco de uma mudança para imagens também expor backups, exportações ou documentos enviados.
Verifique a exposição externamente
Teste sem autenticação, em sessão limpa, URLs representativas, listagem e metadados. Não confie apenas no rótulo do console; confirme o acesso efetivo pelo caminho público.
Configure alertas ou revisões periódicas e confira modelos de implantação que recriam permissões. Se houver exposição, restrinja o acesso rapidamente e avalie dados acessíveis e medidas necessárias.