Nei siti online il file .env non deve essere accessibile, è fuori dalla cartella public quindi dovrebbe essere impossibile accedere.
Io pensavo tu parlassi di un accesso lato server da parte di altri utenti del sistema.