nginx

Dodaj to do każdego bloku server { … } strony, nad innymi blokami location: na Debianie i Ubuntu w /etc/nginx/sites-available/example.com, na Rocky, Alma i CentOS w /etc/nginx/conf.d/example.com.conf:

# Każda ścieżka zaczynająca się od kropki, poza /.well-known/.
location ~ /\.(?!well-known/) {
    deny all;
}

nginx używa pierwszego pasującego location z wyrażeniem regularnym, więc ten musi być przed regułami takimi jak location ~ \.php$.

sudo nginx -t && sudo systemctl reload nginx

Apache i LiteSpeed

Dodaj to na początku .htaccess w głównym folderze strony albo w <VirtualHost> strony, jeśli zarządzasz serwerem:

# Każda ścieżka zaczynająca się od kropki, poza /.well-known/.
RedirectMatch 404 /\.(?!well-known/)

Odpowiada 404, jakby plików nie było. Działa na Apache i na LiteSpeed. <FilesMatch "^\.env"> nie wystarczy: dopasowuje tylko nazwy plików, a pliki wewnątrz .git nazywają się HEAD, config i tak dalej.

Z dostępem do serwera przeładuj konfigurację po zmianie:

sudo apachectl configtest && sudo systemctl reload apache2

(Na Rocky, Alma i CentOS httpd zamiast apache2.)

Laravel

Katalog główny serwera WWW (document root) musi być folderem public/, nigdy folderem projektu. Wtedy .env, .git, vendor/ i storage/ leżą poza tym, co serwer może serwować, i dodatkowa reguła nie jest potrzebna. Laravel Forge, Ploi i Laravel Cloud ustawiają to domyślnie.

Na hostingu współdzielonym, gdzie katalog główny to na stałe public_html, nie wgrywaj całego projektu do public_html. Wgraj go obok (na przykład do ~/example-app) i w panelu skieruj katalog główny na jego folder public (zobacz zakładki cPanel i Plesk). Jeśli panel na to nie pozwala, zastąp public_html dowiązaniem przez SSH:

mv ~/public_html ~/public_html.old
ln -s ~/example-app/public ~/public_html

Jeśli nie masz pewności, czy dowiązania są dozwolone, najpierw zapytaj hosting. Dopóki przeniesienie nie jest gotowe, tymczasowym rozwiązaniem jest reguła .htaccess z zakładki Apache.

cPanel

Szybka blokada: dodaj linię RedirectMatch z zakładki Apache do .htaccess w public_html (File Manager, z włączonym Show Hidden Files).

Przeniesienie katalogu głównego dla domeny dodatkowej (addon) lub subdomeny: Domains → Domains, Manage przy domenie, zmień New Document Root na folder z plikami publicznymi (na przykład example-app/public) i kliknij Update. Katalog główny domeny głównej to na stałe public_html; dla niej użyj dowiązania z zakładki Laravel albo zapytaj hosting.

Wdrażanie przez Git Version Control: sklonuj repozytorium poza public_html i kopiuj do niego tylko pliki publiczne za pomocą pliku wdrożenia .cpanel.yml. Repozytorium sklonowane bezpośrednio do public_html publikuje swój folder .git.

Plesk

Szybka blokada: Websites & Domains → example.com → Apache & nginx Settings, w Additional nginx directives dodaj:

location ~ /\.(?!well-known/) {
    deny all;
}

Przeniesienie katalogu głównego: w Hosting Settings domeny (w nowszych wersjach Pleska Hosting & DNS → Hosting) ustaw Document root na folder publiczny, na przykład httpdocs/public dla Laravela lub Bedrock, i zapisz.

Jeśli wdrażasz przez rozszerzenie Git w Plesku, ustaw jako ścieżkę wdrożenia katalog główny, a samo repozytorium trzymaj poza nim.

Cloudflare

Jeśli strona działa za Cloudflare (pomarańczowa chmurka), reguła WAF zablokuje obie ścieżki w minutę, także na darmowym planie:

1. Otwórz domenę, przejdź do Security → WAF → Custom rules (w nowszym panelu Security → Security rules) i utwórz regułę.
2. Nazwij ją Block .git and .env, kliknij Edit expression i wklej:

(http.request.uri.path contains "/.git" or http.request.uri.path contains "/.env")

3. Wybierz akcję Block i kliknij Deploy.

To chroni tylko ruch przechodzący przez Cloudflare. Każdy, kto zna adres IP serwera, nadal może zapytać go bezpośrednio, więc popraw też serwer.

IIS i ASP.NET

IIS potrafi ukryć całe segmenty ścieżki. W pliku web.config strony:

<configuration>
  <system.webServer>
    <security>
      <requestFiltering>
        <hiddenSegments>
          <add segment=".git" />
          <add segment=".env" />
        </hiddenSegments>
      </requestFiltering>
    </security>
  </system.webServer>
</configuration>

Żądania tych ścieżek dostają 404. Domyślnie IIS odmawia też plików bez znanego typu MIME, więc publiczny .env zwykle oznacza, że ktoś dodał ogólny mimeMap; usuń go.

Node.js i Next.js

Next.js serwuje tylko folder public/, więc .env i .git wyciekają tylko wtedy, gdy coś przed nim (nginx, Apache) wskazuje na folder projektu. Popraw katalog główny tamtego serwera albo dodaj regułę z jego zakładki.

W Expressie serwuj dedykowany folder, nigdy katalog projektu:

app.use(express.static(path.join(__dirname, 'public')));

express.static(__dirname) publikuje wszystko obok kodu, łącznie z .env i .git.