# .htaccess (raíz del proyecto) — defensa en profundidad.
# El docroot del sitio es public/, así que este archivo normalmente no aplica;
# si algún día el docroot apuntara a la raíz, impide descargar el .env.
<Files ".env">
    Require all denied
</Files>
