Aprenda a bloquear .env e .git no nginx e também dumps .sql e .bak, sem a brecha do location ^~ que libera arquivo oculto dentro de uploads.