Andrebbe levato, la root web dovrebbe essere la cartella public.
Anche perché così in teoria si potrebbero leggere i file di configurazione, per esempio andando su www.sito.it/.env