.env-Datei öffentlich abrufbar

Eine .env-Datei hält die Geheimnisse einer App — API-Schlüssel, Datenbank-Passwörter, Tokens — getrennt vom Code. Ist sie über die Webadresse abrufbar, ist diese Trennung wertlos: Jeder kann sie im Browser öffnen.

Wir melden das nur, wenn wir es belegen können. Der Scan ruft den Pfad ab und prüft den Inhalt auf echte Umgebungsvariablen-Zeilen. Eine hübsche 404-Seite oder eine App, die auf jede Anfrage HTML zurückgibt, löst hier bewusst nichts aus.

Ursache ist fast immer die Auslieferung: Das Projektverzeichnis wird komplett ins Web-Root kopiert, statt nur den Build. Kurzfristig: Pfad sperren. Richtig: Nur Build-Artefakte ausliefern — und jeden Schlüssel, der in dieser Datei stand, als kompromittiert behandeln und rotieren.