#BEGIN SECURITY HEADERS

# -------------------------------------------------------
# Base sécuritaire
# -------------------------------------------------------
<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTPS} !=on
  RewriteCond %{HTTP:X-Forwarded-Proto} !https [NC]
  RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</IfModule>

Options -Indexes

<IfModule mod_headers.c>
  # Réduire le fingerprinting
  # L’en-tête Server ne peut généralement pas être retiré depuis .htaccess; configurez-le au niveau du serveur web au besoin.
  Header always unset X-Powered-By
  Header always unset X-Redirect-By

  # Sécurité transport (uniquement en HTTPS)
  Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" env=HTTPS

  # Protection contre le MIME sniffing
  Header always set X-Content-Type-Options "nosniff"

  # Politique de référent
  Header always set Referrer-Policy "strict-origin-when-cross-origin"

  # Politique cross-domain d’Adobe
  Header always set X-Permitted-Cross-Domain-Policies "none"

  # Protection clickjacking (cohérente avec CSP frame-ancestors 'self')
  Header always set X-Frame-Options "SAMEORIGIN"

  # En-têtes d’isolation Cross-Origin (valeurs sûres)
  Header always set Cross-Origin-Opener-Policy "same-origin"
  Header always set Cross-Origin-Resource-Policy "same-origin"
  # COEP est puissant mais peut casser des embeds/ressources tierces si elles ne supportent pas CORP/CORS.
  # Header always set Cross-Origin-Embedder-Policy "require-corp"

  # En-tête obsolète : les navigateurs modernes s’appuient plutôt sur la CSP, mais certains scanners aiment encore le voir.
  Header always set X-XSS-Protection "0"

  # Permissions-Policy (équilibrée : bloque le sensible, autorise le raisonnable sur self)
  Header always set Permissions-Policy "accelerometer=(), camera=(), geolocation=(), gyroscope=(), magnetometer=(), microphone=(), midi=(), payment=(), usb=(), display-capture=(), autoplay=(self), encrypted-media=(self), fullscreen=(self), picture-in-picture=(self), clipboard-write=(self), publickey-credentials-get=(self)"

  # Vary (garder ça minimal; n’ajoutez pas Referer/User-Agent sauf si vous variez vraiment selon eux)
  Header always merge Vary "Accept-Encoding"
</IfModule>

# -------------------------------------------------------
# Cache-Control (pages HTML)
# -------------------------------------------------------
<IfModule mod_headers.c>
  # Appliqué aux réponses HTML (fonctionne aussi pour les permaliens WordPress). Requiert les expressions Apache 2.4+.
  # Si vous n’utilisez pas de gestionnaire de cache (LiteSpeed Cache, plugin de cache, etc.), vous pouvez décommenter la ligne ci-dessous. Gardez-la commentée si un cache de page est actif.
  # Header always set Cache-Control "private, no-cache, must-revalidate" "expr=%{CONTENT_TYPE} =~ m#^text/html#"
  # Header always unset Pragma "expr=%{CONTENT_TYPE} =~ m#^text/html#"
  # Header always unset Expires "expr=%{CONTENT_TYPE} =~ m#^text/html#"
</IfModule>

# -------------------------------------------------------
# CSP - Content Security Policy (baseline minimale sécuritaire)
# -------------------------------------------------------
<IfModule mod_headers.c>
  # (Conserve l’intention; à renforcer plus tard avec default-src/script-src/etc.)
  # Ajustez img-src, script-src, style-src, font-src, connect-src au besoin (ex. ajouter des CDNs).
  # Header always set Content-Security-Policy "default-src 'self'; base-uri 'self'; object-src 'none'; frame-ancestors 'self'; img-src 'self' data: https:; script-src 'self'; style-src 'self'; font-src 'self' data:; connect-src 'self'; form-action 'self'; upgrade-insecure-requests"
</IfModule>

# -------------------------------------------------------
# CORS - Cross-Origin Ressource Sharing (optionnel; laissez commenté sauf si nécessaire)
# -------------------------------------------------------
<IfModule mod_headers.c>
  # IMPORTANT :
  # - N’activez pas CORS globalement sans un vrai besoin d’API.
  # Si vous avez besoin de CORS, décommentez et définissez une allowlist fixe.
  # SetEnvIf Origin "^https?://(kastner\.at|www\.kastner\.at)(:\d{1,5})?$" CORS_ALLOW_ORIGIN=$0
  # Header always set Access-Control-Allow-Origin "%{CORS_ALLOW_ORIGIN}e" env=CORS_ALLOW_ORIGIN
  # Header always merge Vary "Origin" env=CORS_ALLOW_ORIGIN
  # Header always set Access-Control-Allow-Methods "GET, POST, OPTIONS" env=CORS_ALLOW_ORIGIN
  # Header always set Access-Control-Allow-Headers "Content-Type, Authorization" env=CORS_ALLOW_ORIGIN
  # Header always set Access-Control-Max-Age "86400" env=CORS_ALLOW_ORIGIN
</IfModule>

# -------------------------------------------------------
# Durcissement des cookies (optionnel)
# -------------------------------------------------------
<IfModule mod_headers.c>
  # Apache uniquement : utilise Header edit/edit* pour ajouter Secure/HttpOnly/SameSite si manquant. Non valide / non supporté de façon fiable sur LiteSpeed/OpenLiteSpeed.
  # Header always edit* Set-Cookie "(?i)^((?:(?!;\s*Secure).)+)$" "$1; Secure" env=HTTPS
  # Header always edit* Set-Cookie "(?i)^((?:(?!;\s*HttpOnly).)+)$" "$1; HttpOnly"
  # Header always edit* Set-Cookie "(?i)^((?:(?!;\s*SameSite=).)+)$" "$1; SameSite=Lax"
</IfModule>

# -------------------------------------------------------
# En-têtes de reporting (optionnel)
# -------------------------------------------------------
<IfModule mod_headers.c>
  # Header always set Reporting-Endpoints "default=\"https://kastner.at/reporting\""
  # Header always set Cross-Origin-Opener-Policy-Report-Only "same-origin"
  # Header always set Cross-Origin-Embedder-Policy-Report-Only "require-corp"
</IfModule>

#END SECURITY HEADERS