Le contrôle de version Git est désormais une pratique courante dans presque tous les projets et environnements web (y compris en production). Git crée systématiquement un sous-répertoire nommé `.git` . Si ce dernier se trouve au même niveau que le répertoire public du site web, les fichiers sensibles sont accessibles publiquement (par exemple, l'accès à `/.git/logs /HEAD` affiche les derniers commits). Ce guide explique en détail comment cloner un autre dépôt Git, même sans liste de fichiers.
Pour éviter cela, dans le cas d'un serveur Apache , l'accès à l'ensemble du dossier .git est restreint dans le fichier .htaccess et une erreur 404 est émise. L'attaquant ne sait même pas que le dossier existe:
32b39d7c9836a649597019300a5c2115
Si vous avez un serveur NGINX en fonctionnement, ces règles feront l'affaire.:
32b39d7c9836a649597019300a5c2115