ENV (dotenv) — fichier .env

Le fichier .env liste des variables d’environnement sous forme de paires CLE=valeur, une par ligne, destinées à être chargées par une application au démarrage plutôt que codées en dur dans le programme. C’est devenu une convention quasi universelle du développement logiciel moderne pour séparer la configuration (adresses de base de données, clés d’API) du code source lui-même.

Ce format n’a aucune signature binaire et n’a jamais été formellement standardisé par une organisation de normalisation : c’est une convention communautaire, popularisée par la bibliothèque “dotenv” originellement développée pour Ruby puis reprise dans la quasi-totalité des écosystèmes de programmation.

Un fichier .env contient très souvent des informations sensibles (mots de passe, jetons d’accès, clés secrètes) : sa présence accidentelle dans un dépôt de code public reste l’une des fuites de configuration les plus fréquentes et les plus documentées en sécurité applicative.

La bonne pratique consacrée par la convention “douze facteurs” (Twelve-Factor App), un ensemble de principes largement adopté pour construire des applications cloud, recommande explicitement de stocker toute configuration dépendant de l’environnement (développement, production) dans de telles variables plutôt que dans le code.

L’ajout systématique d’un fichier .env au fichier .gitignore d’un projet est devenue une pratique quasi réflexe chez les développeurs, précisément pour éviter qu’il ne soit versionné et publié par erreur avec le reste du code source.

En production, de nombreuses plateformes d’hébergement (Heroku, Vercel, Docker Compose) proposent leur propre interface de gestion des variables d’environnement plutôt que de s’appuyer sur un fichier .env déployé tel quel, ce dernier restant surtout une commodité de développement local plutôt qu’un mécanisme recommandé pour un environnement de production sécurisé.