In ogni caso, metti il db in una directory non accessibile via web