Le site en ligne n’a pas besoin de tout l’historique
Un dossier .git mis en ligne peut exposer l’historique des commits, d’anciens chemins, de la configuration et des éléments retirés depuis longtemps. Cette histoire peut contenir des informations dont le risque n’a plus rien à voir avec ce qu’on voit sur le site.
La version en production doit contenir ce dont l’application a besoin pour fonctionner, pas le dépôt de travail qui l’a produite. Bloquer les fichiers cachés sur le serveur aide, mais ne jamais les embarquer reste la frontière la plus propre.
Valider avant de parler de gravité
Une détection automatique ne prouve pas qu’un historique sensible est vraiment récupérable ou exploitable. La validation doit être autorisée, cadrée et pensée pour ne pas aggraver l’impact. Le résultat peut être sérieux, sans conséquence, déjà corrigé—ou quelque part entre les deux.
Les preuves passent avant la gravité. D’abord, confirmer la vraie réponse, ce qui est accessible et la conséquence pratique. Ensuite seulement, choisir les mots du constat.