# Katalog publiczny — monitoring przetargów URSON

# Wymuszenie HTTPS. Panel przyjmuje hasła, więc połączenie nieszyfrowane
# oznaczałoby wysyłanie ich otwartym tekstem.
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteCond %{HTTP:X-Forwarded-Proto} !https
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

# Blokada plików, które nigdy nie powinny być pobierane przez przeglądarkę.
# Katalog app/ i tak leży poza tym drzewem, ale gdyby ktoś kiedyś skopiował
# tu coś przez pomyłkę, ta reguła zadziała jako druga warstwa.
<FilesMatch "\.(env|log|sql|jsonl|md|yml|yaml|ini|bak|old|dist)$">
    Require all denied
</FilesMatch>

<FilesMatch "^(config|dbpass|\.git)">
    Require all denied
</FilesMatch>

# Wyłączenie listowania zawartości katalogów
Options -Indexes

# Nagłówki bezpieczeństwa
<IfModule mod_headers.c>
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

# Domyślne kodowanie — tytuły ogłoszeń są po polsku
AddDefaultCharset UTF-8
