קובץ ‎.env נגיש לציבור - מה זה ואיך מתקנים

קובץ ‎.env (או ‎.env.production) שנפרס יחד עם האתר ונגיש בכתובת ציבורית - בדרך כלל בגלל תצורת build שמעתיקה הכל לתיקיית הפרסום.

למה זה מסוכן

קובץ אחד מרכז את כל הסודות: מסד נתונים, מפתחות תשלום, טוקנים. תוקפים סורקים את האינטרנט באופן שגרתי בדיוק אחרי הקבצים האלה.

איך מתקנים

ודא ש-.env לא בתיקיית הפרסום (dist/public) ולא ב-git
סובב כל סוד שהופיע בקובץ שנחשף
הגדר את הערכים במנגנון משתני הסביבה של המארח במקום בקובץ שנפרס

איך מוודאים שהתיקון עבד

סריקה חוזרת מבקשת את הנתיבים הנפוצים (‎/.env ודומיו) ומוודאת שהם מחזירים 404.

מדריכים לפי הכלי שבנה את האפליקציה

בדיקה חינם

רוצה לדעת אם האפליקציה שלך חשופה? סרוק בחינם ב-30 שניות וקבל ציון אבטחה + הוראות תיקון.

סרוק את האפליקציה שלך בחינם