Открытый .env и .git: проверь свой сайт за 10 секунд

.env - записка с паролями: от базы данных, почты, платежки, сервера. Сайт читает ее сам, посетителям она не нужна. .git - папка с историей кода: все версии сайта и все правки.

если эти файлы открываются по прямому адресу, это ключи от серверной под ковриком. Только коврик лежит в интернете, и под него заглядывают боты: они проверяют адреса вроде /.env у всех сайтов подряд, каждый день.

с паролем от базы забирают данные клиентов, с доступом к серверу подменяют сайт или ставят на него вирус. Если утекут данные людей, отвечать за утечку будешь ты.

допиши к адресу сайта /.env и открой в браузере: mysite.ru/.env.

скачался файл или на экране голый текст со строками вида DB_PASSWORD=.... Закрывай сегодня.

ошибка 404 "не найдено", запрет 403 или открылась твоя обычная страница: многие сайты на любой адрес показывают главную.

то же для mysite.ru/.git/config. Плохо, если видишь текст, который начинается с [core].

проверять так чужие сайты. Только свой.

агент кладет .env в корень проекта, и это нормально, пока проект у тебя на компьютере. Беда начинается, когда папку проекта целиком загружают на обычный хостинг: через FTP, панель управления или архивом. Вместе с сайтом в интернет уезжают и пароли, и история кода.

запрети отдачу всех файлов и папок, которые начинаются с точки. Исключение - папка .well-known, она нужна для сертификата.

nginx: location ~ /\.(?!well-known) { deny all; }

Apache, файл .htaccess: RedirectMatch 404 /\.(?!well-known)

Еще надежнее - не класть .env и .git в папку, которую видит интернет.

все, что лежало в .env: база, почта, ключи API, доступ к серверу. Файл могли скачать раньше, чем ты его закрыл.

журналы сервера и входы в базу и кабинеты за последние недели: не было ли запросов к /.env и чужих входов.

"На сайте по прямому адресу открываются служебные файлы .env и папка .git. Запрети отдачу всех файлов и папок, которые начинаются с точки, кроме .well-known, в настройках веб-сервера или убери их из папки, которую видит интернет. Проверь, что /.env и /.git/config отвечают 404 или 403. Выпиши названия всех паролей и ключей из .env без самих значений: я сменю их вручную. Ничего не удаляй из репозитория без моего подтверждения".

просто удалить пароль из кода и считать, что все: в истории .git он остался. Пароль нужно сменить.

выкладывай на хостинг только готовую сборку сайта, а не всю папку проекта. Если не знаешь, где она, спроси агента: "какую папку загружать на хостинг?"

"Запиши в правила проекта: файл .env и папка .git никогда не попадают в папку, которую видит интернет; .env всегда в .gitignore; пароли и ключи только в переменных окружения на сервере. Перед каждой выкладкой проверяй это и говори мне, если что-то не так".

после каждой выкладки открыть mysite.ru/.env еще раз. Десять секунд, и ты спокоен до следующей правки.