env
3 статей с этим тегом
Что такое .env — что происходит при утечке файла окружения
.env хранит секреты приложения (доступ к БД, ключи API, ключи шифрования). Поскольку ключи собраны в одном файле, его раскрытие приводит к утечке всех секретов сразу. Держите приложение вне docroot, никогда не коммитьте его в git и ротируйте всё, если оно утекло.
Основы безопасности: чем на самом деле опасны .env и API-ключи
Начните здесь. Поймите, что происходит при утечке .env и API-ключей (кто-то пользуется сервисом от вашего имени, а счёт приходит вам), затем заведите четыре привычки сегодня: не выставлять их наружу, не коммитить, сменить всё при утечке и самопроверяться.
Как держать .env вне публичного веба на общем хостинге
Основное исправление: тело приложения вне docroot, наружу только public/. Сначала закройте доступ через .htaccess, сделайте это постоянным реструктуризацией, затем самопроверка. Взгляд этого сайта: это не оплошность одного человека, а опасная раскладка, ставшая стандартом во всей отрасли, — чините процессом, а не бдительностью. bootstrap-redirect лучше симлинка.