La .git directory è la cartella nascosta che memorizza gli oggetti, i riferimenti e la configurazione di un repository Git. Contiene la cronologia dei commit, i puntatori dei rami, i tag e i dati interni di cui Git ha bisogno per tracciare le modifiche nel tempo. Nello sviluppo normale dovrebbe rimanere privata su una macchina di sviluppo o dietro i controlli dell'hosting del repository, non all'interno della directory radice del sito web.
I problemi di sicurezza iniziano quando un server web serve accidentalmente questa directory tramite HTTP. Un percorso .git esposto può consentire a un attaccante di ricostruire la cronologia del codice sorgente, scoprire file eliminati e recuperare segreti che in passato erano stati committati, come chiavi API o credenziali cloud. I difensori dovrebbero bloccare l'accesso pubblico a .git, verificare le directory di distribuzione, eseguire scansioni per individuare metadati di repository esposti e ruotare qualsiasi segreto che possa essere stato pubblicato. In pratica, la directory in sé non è dannosa, ma lasciarla raggiungibile può trasformare vecchio codice in un rischio attivo.