ProbeHunt

Blokir file .git dan .env yang terekspos

File terekspos · sekitar 15 menit

Dengan bahasa sederhana

Ada file yang seharusnya tidak pernah publik — riwayat Git atau file .env berisi password dan API key — yang bisa diunduh siapa saja.

Apa risikonya

Kritis. Penyerang bisa memulihkan kode sumber, password database, dan API key, lalu mengambil alih situs serta layanan yang terhubung.

Cara memperbaikinya

Pilih platform yang dipakai situs Anda. Tidak yakin? Teruskan halaman ini ke pengelola website Anda.

Nginx

location ~ /\.(?!well-known) {
  deny all;
  return 404;
}

Apache / .htaccess

<FilesMatch "^\.">
  Require all denied
</FilesMatch>
RedirectMatch 404 /\.git

Deploy hygiene

Deploy a build folder (dist/, public/) — never the repository root.
Add .env to .gitignore and keep secrets in your host’s environment settings.
Sebelum mengubah apa pun: Memblokir file saja tidak cukup: anggap semua rahasia di dalamnya sudah dicuri. Ganti semua password dan API key yang ada di file itu, lalu periksa log untuk tanda penyalahgunaan.

Pastikan sudah berhasil

Jalankan ulang cek ProbeHunt. /.git/config dan /.env seharusnya membalas 403 atau 404.

Jalankan ulang cek gratis

Referensi