Отключите в проде, повесьте на отдельный network policy/VPN, сильная auth (SSO+MFA), IP allowlist, отсутствие в публичном DNS, аудит доступа; никогда не оставляйте default credentials.
Разбор
- Spring Actuator, Django debug,
/phpinfo — частые находки сканеров.
- Feature flags по окружению, не «забытый» include.
- Регулярный external scan и inventory путей.
- Ошибки 404 одинаковые, без stacktrace клиенту.
Итог
Admin/debug — минимальная поверхность, сильная auth и сеть, zero defaults.