Le résultat déployé n’est pas l’historique du dépôt
Un dossier .git déployé peut exposer l’historique des commits, d’anciens chemins, de la configuration et des éléments retirés des fichiers actuels. Cette histoire peut contenir des informations dont le risque n’a plus rien à voir avec le site visible.
L’artefact de production doit contenir ce dont l’application a besoin pour fonctionner, pas le dépôt de travail qui l’a produit. Bloquer les fichiers cachés sur le serveur ajoute une défense utile, mais exclure les métadonnées du dépôt dès la construction reste la frontière la plus propre.
Valider avant de parler de gravité
Une détection automatisée ne prouve pas qu’un historique sensible est récupérable ou exploitable. La validation doit être autorisée, cadrée et conçue pour ne pas aggraver l’impact. Le résultat peut être sérieux, sans conséquence, déjà corrigé ou quelque part entre les deux.
Les preuves passent avant la gravité : confirmez la réponse réelle, ce qui est accessible et la conséquence pratique avant de choisir les mots du constat.