Arquivos sensíveis inacessíveis (.env, .git/config)
Faz GET em /.git/config, /.env, /.DS_Store e /phpinfo.php e falha se algum responder com status entre 200 e 399.
Por que importa
Um .env publicado pode conter senhas e chaves de API. Um .git/config acessível indica que a pasta .git, com o código e o histórico do repositório, também pode estar.
Como corrigir
Bloqueie no servidor ou no proxy os arquivos que começam com ponto e não inclua .env nem .git no build. Um app que responde 200 com a página inicial para qualquer caminho também falha aqui: nesse caso, confira se a resposta é o arquivo ou a página do app.
Como conferir a correção
HTTP-008
for path in /.git/config /.env /.DS_Store /phpinfo.php; do
echo "$path $(curl -s -o /dev/null -w '%{http_code}' "https://seu-app.com$path")"
done