# BP Studio — configuration Apache

Options -Indexes
DirectoryIndex index.php

# Force HTTPS en production (ignoré en local : localhost / 127.*).
<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{HTTPS} off
    RewriteCond %{HTTP_HOST} !^localhost [NC]
    RewriteCond %{HTTP_HOST} !^127\. [NC]
    RewriteCond %{HTTP:X-Forwarded-Proto} !https
    RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

# En-têtes de sécurité (complètent ceux envoyés par PHP).
<IfModule mod_headers.c>
    Header set X-Content-Type-Options "nosniff"
    Header set X-Frame-Options "DENY"
    Header set Referrer-Policy "no-referrer"
</IfModule>

# Empêche l'exécution/lecture directe des fichiers de données et de code.
<FilesMatch "\.(json|key|md|log)$">
    Require all denied
</FilesMatch>
