Options -Indexes

# Viewer-Code immer frisch laden: alte Reader-JS-Versionen aus dem Browser-
# Cache waren eine Ursache fuer doppelt uebertragene Zeichen (keine Event-IDs,
# keine Tab-Sperre im alten Code).
<IfModule mod_headers.c>
    <FilesMatch "\.(js|css)$">
        Header set Cache-Control "no-store, no-cache, must-revalidate"
    </FilesMatch>
    Header set X-Content-Type-Options "nosniff"
    Header set X-Frame-Options "SAMEORIGIN"
    Header set Referrer-Policy "same-origin"
    # CSP: nur eigene Ressourcen; 'unsafe-inline' bei script/style ist wegen
    # der window.WEBVNC-Inline-Bootstraps (viewer/files/dashboard) noetig.
    # Blockiert dennoch externe Skripte, eval, fremde Frames/Verbindungen.
    Header set Content-Security-Policy "default-src 'self'; img-src 'self' data:; media-src 'self'; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline'; connect-src 'self'; font-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'"
</IfModule>
