# --- HTTPS বাধ্যতামূলক ---
<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTPS} !=on
  RewriteCond %{HTTP:X-Forwarded-Proto} !=https
  RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
  # ডটফাইল ব্লক (.git, .env ইত্যাদি)
  RewriteRule (^|/)\.(?!well-known) - [F]
</IfModule>

Options -Indexes -MultiViews
ServerSignature Off

# সংবেদনশীল ফাইল এক্সটেনশন ব্লক
<FilesMatch "\.(sql|md|log|bak|old|orig|ini|sample|inc|sh|git)$|^boot\.php$">
  Require all denied
</FilesMatch>

# স্ট্যাটিক ফাইলের জন্য অতিরিক্ত হেডার (PHP পেজের হেডার PHP নিজেই দেয়)
<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "DENY"
  Header always set Referrer-Policy "same-origin"
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
  <FilesMatch "\.(css|js)$">
    Header set Cache-Control "public, max-age=3600"
  </FilesMatch>
</IfModule>

# আপলোড/স্ক্রিপ্ট এক্সিকিউশন নিরাপত্তা: assets ফোল্ডারে PHP চলবে না
<IfModule mod_rewrite.c>
  RewriteRule ^assets/.*\.php$ - [F]
</IfModule>

ErrorDocument 403 "403 Forbidden"
ErrorDocument 404 "404 Not Found"
