A mio avviso (ma potrei sbagliarmi) il web.config non è il posto più sicuro in cui mettere la connesione al database