# MC4Y-Produktivitätssuite: Einstellungen für Apache. Der Webserver liefert nur dieses Verzeichnis (public) aus;
# PHP setzt die Sicherheitsköpfe für Portal und Schnittstelle selbst.
# PHP-Grenzen (Upload, Laufzeit, Speicher) stehen in .user.ini – php_value in dieser Datei wirkt nur mit mod_php,
# nicht bei PHP als FastCGI/PHP-FPM, wie es die meisten Webhoster (z. B. STRATO) einsetzen.
DirectoryIndex index.php
Options -Indexes
# versteckte Dateien (.user.ini, .htaccess, .git …) nie ausliefern
<FilesMatch "^\.">
  <IfModule mod_authz_core.c>
    Require all denied
  </IfModule>
  <IfModule !mod_authz_core.c>
    Order allow,deny
    Deny from all
  </IfModule>
</FilesMatch>
<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always unset X-Powered-By
  <If "%{REQUEST_URI} =~ m#/werkzeuge/#">
    Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob:; font-src 'self' data:; connect-src 'self'; frame-src 'self' blob: data:; worker-src 'self' blob:; frame-ancestors 'self'; form-action 'self'; base-uri 'self'; object-src 'none'"
    Header set X-Frame-Options "SAMEORIGIN"
    Header set Cache-Control "no-cache"
  </If>
</IfModule>
