Faites en sorte que le fichier cartebleue.txt ne soit pas lisible par l'utilisateur www-data.

Est-ce qu'on peut le lire avec public.php ?
Est-ce qu'on peut le lire à partir du navigateur (changez la config d'apache) ?