[SECURITY] Proteksi .env & Konfigurasi Variabel Lingkungan (Sensitive Information Exposure)

[vickyrolanda]

Masalah

Struktur .env.example ada di repo, dan bila salah konfigurasi web server, file .env asli bisa diakses dari browser. File ini memuat seluruh rahasia aplikasi (DB, token, API key, dsb).

Dampak

• Jika attacker bisa akses, maka compromise/seize penuh terhadap database dan layanan API/Cloud.
• Permudah proses mapping/footprinting oleh attacker

Langkah Penyelesaian

1. Pastikan .env tidak pernah accessible secara public (tambahkan rule deny di web server untuk file dotfile/hidden)
2. Hapus value sensitif pada .env.example jika commit ke repo
3. Monitoring & alert jika ada request GET .env

Contoh Konfigurasi Apache

<FilesMatch "^\.env">
    Require all denied
</FilesMatch>

Nginx

location ~ \/\.env {
    deny all;
    return 404;
}

Setelah Perbaikan

• Tes manual dan scanner: GET /.env, pastikan selalu return 404/denied.

[pandigresik]

Perbaikan pada level konfigurasi web server bukan pada aplikasi. Kemungkinan yang bisa dilakukan hanya sesuaikan .htaccess bawaan saja