Tergantung developernya juga sih gan, ada salah satu perusahaan besar yang file .env nya bisa dilihat, bahkan tanpa hack sama sekali