# =====================================================================
#  SECURITE — ajoute le 07/09/2026 (audit)
#  Tout est entoure de <IfModule> : si un module manque, la section
#  est ignoree sans casser le site.
# =====================================================================

# Plus de listing de repertoire (/documents/, /images/, /videos/, /en/)
Options -Indexes

# En-tetes de securite envoyes avec chaque reponse
<IfModule mod_headers.c>
  # Le navigateur n'accepte plus que HTTPS pendant 1 an
  Header always set Strict-Transport-Security "max-age=31536000"
  # Interdit d'afficher le site dans une iframe d'un autre domaine
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  # Le navigateur respecte le type MIME annonce
  Header always set X-Content-Type-Options "nosniff"
  # Ne transmet pas l'URL complete aux sites tiers
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  # Fonctions navigateur dont le site n'a pas besoin
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=(), usb=()"
</IfModule>

# Fichiers de travail qui ne doivent jamais etre servis
# (robots.txt, sitemap.xml et site.webmanifest restent accessibles)
<FilesMatch "^(LISEZ-MOI.*\.txt|robots-PREPROD\.txt|.*\.(py|gs|tmp|log|bak|old|sql|md|env|ini|sh))$">
  Require all denied
</FilesMatch>