Am besten außerhalb des Webroots. Man sollte alle Arbeitsdaten von RedSYS in den sog. "var/"-Bereich legen, Hier liegen logfiles, aber auch anderen Austauschfiles etc. Der Vorteil ist, dass RedSYS dieses Verzeichnis erreicht, aber kein direkter Zugriff über den Webserver erfolgen kann.

Sollten keine sicherheitsrelevanten Daten auf dem RedSYS Server abgelegt werden, diese müssen aber über einen direkten Pfad erreichbar sein (z.B. ein große Downloaddatei), so können diese in das /data Verzeichnis im Webroot gelegt werden.