nginx

To dodajte v vsak blok server { … } strani, nad druge bloke location: na Debianu in Ubuntuju v /etc/nginx/sites-available/example.com, na Rocky, Alma in CentOS v /etc/nginx/conf.d/example.com.conf:

# Vse poti, ki se začnejo s piko, razen /.well-known/.
location ~ /\.(?!well-known/) {
    deny all;
}

nginx uporabi prvi location z regularnim izrazom, ki se ujema, zato mora biti ta pred pravili, kot je location ~ \.php$.

sudo nginx -t && sudo systemctl reload nginx

Apache in LiteSpeed

To dodajte na vrh .htaccess v korenski mapi strani ali v <VirtualHost> strani, če upravljate strežnik:

# Vse poti, ki se začnejo s piko, razen /.well-known/.
RedirectMatch 404 /\.(?!well-known/)

Odgovori z 404, kot da datoteke ne obstajajo. Deluje na Apachu in na LiteSpeedu. <FilesMatch "^\.env"> ni dovolj: ujema se samo z imeni datotek, datoteke v .git pa se imenujejo HEAD, config in podobno.

Z dostopom do strežnika po spremembi znova naložite konfiguracijo:

sudo apachectl configtest && sudo systemctl reload apache2

(Na Rocky, Alma in CentOS httpd namesto apache2.)

Laravel

Korenska mapa spletnega strežnika (document root) mora biti mapa public/, nikoli mapa projekta. Takrat so .env, .git, vendor/ in storage/ zunaj tistega, kar strežnik lahko streže, in dodatno pravilo ni potrebno. Laravel Forge, Ploi in Laravel Cloud to nastavijo privzeto.

Na deljenem gostovanju, kjer je korenska mapa fiksno public_html, celega projekta ne nalagajte v public_html. Naložite ga poleg (na primer v ~/example-app) in v nadzorni plošči korensko mapo usmerite v njegovo mapo public (glejte zavihka cPanel in Plesk). Če plošča tega ne dovoli, public_html prek SSH zamenjajte s povezavo nanjo:

mv ~/public_html ~/public_html.old
ln -s ~/example-app/public ~/public_html

Če niste prepričani, da so povezave dovoljene, najprej vprašajte gostitelja. Dokler selitev ni končana, je pravilo .htaccess iz zavihka Apache začasna rešitev.

cPanel

Hitra blokada: vrstico RedirectMatch iz zavihka Apache dodajte v .htaccess v public_html (File Manager, z vklopljenim Show Hidden Files).

Premik korenske mape za dodatno domeno (addon) ali poddomeno: Domains → Domains, Manage ob domeni, New Document Root spremenite v mapo z javnimi datotekami (na primer example-app/public) in kliknite Update. Korenska mapa glavne domene je fiksno public_html; zanjo uporabite povezavo iz zavihka Laravel ali vprašajte gostitelja.

Objava z Git Version Control: repozitorij klonirajte zunaj public_html in vanj kopirajte samo javne datoteke z datoteko za objavo .cpanel.yml. Repozitorij, kloniran neposredno v public_html, objavi svojo mapo .git.

Plesk

Hitra blokada: Websites & Domains → example.com → Apache & nginx Settings, v Additional nginx directives dodajte:

location ~ /\.(?!well-known/) {
    deny all;
}

Premik korenske mape: v Hosting Settings domene (v novejših različicah Pleska Hosting & DNS → Hosting) nastavite Document root na javno mapo, na primer httpdocs/public za Laravel ali Bedrock, in shranite.

Če kodo objavljate z razširitvijo Git v Plesku, ji kot pot objave nastavite korensko mapo, sam repozitorij pa naj ostane zunaj nje.

Cloudflare

Če stran teče za Cloudflarom (oranžen oblak), pravilo WAF obe poti blokira v minuti, tudi na brezplačnem paketu:

1. Odprite domeno, pojdite na Security → WAF → Custom rules (v novejši nadzorni plošči Security → Security rules) in ustvarite pravilo.
2. Poimenujte ga Block .git and .env, kliknite Edit expression in prilepite:

(http.request.uri.path contains "/.git" or http.request.uri.path contains "/.env")

3. Izberite dejanje Block in kliknite Deploy.

To ščiti samo promet, ki gre skozi Cloudflare. Kdor pozna IP naslov strežnika, ga lahko še vedno vpraša neposredno, zato popravite tudi strežnik.

IIS in ASP.NET

IIS zna skriti cele dele poti. V datoteki web.config strani:

<configuration>
  <system.webServer>
    <security>
      <requestFiltering>
        <hiddenSegments>
          <add segment=".git" />
          <add segment=".env" />
        </hiddenSegments>
      </requestFiltering>
    </security>
  </system.webServer>
</configuration>

Zahtevki za te poti dobijo 404. IIS privzeto zavrne tudi datoteke brez znane vrste MIME, zato javen .env običajno pomeni, da je nekdo dodal splošen mimeMap; odstranite ga.

Node.js in Next.js

Next.js streže samo mapo public/, zato .env in .git uideta samo, kadar nekaj pred njim (nginx, Apache) kaže na mapo projekta. Popravite korensko mapo tistega strežnika ali dodajte pravilo iz njegovega zavihka.

V Expressu stregite namensko mapo in nikoli korena projekta:

app.use(express.static(path.join(__dirname, 'public')));

express.static(__dirname) objavi vse, kar je poleg kode, tudi .env in .git.