kantarciandClaude Opus 5
a2dfd0f796
Die Lato-Dateien liegen jetzt unter public/assets/fonts/ samt OFL-Text und einer Lizenznotiz: auf einem frischen Server fehlt nichts, und es wird nie versehentlich von Google geladen. docs/NEUE-WEBSITE.md beschreibt, wie eine neue Kundenwebsite entsteht - Reihenfolge, Dokumentformat, Bilder, SEO, Pruefungen - und nennt am Ende die fuenf Fehler, die hier immer wieder passiert sind. Permissions-Policy ergaenzt (Kamera, Mikrofon, Standort, Sensoren aus), X-Powered-By entfernt: der Server nannte in jeder Antwort seine genaue PHP-Fassung. Die Browserpruefung misst die Kopfzeilen jetzt. Behoben: der Editor kannte Schema v17, der Validator v18 - die Beitragsnavigation liess sich in keinem aktuellen Dokument einfuegen. Ein Test bindet die Zahl des Editors an die des Validators. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
78 lines
3.7 KiB
ApacheConf
78 lines
3.7 KiB
ApacheConf
DirectoryIndex index.php
|
|
Options -Indexes -MultiViews
|
|
|
|
# Alles, was keine Datei ist, beantwortet PHP.
|
|
RewriteEngine On
|
|
RewriteCond %{REQUEST_FILENAME} !-f
|
|
RewriteRule ^ index.php [L]
|
|
|
|
# HTTPS erzwingen. Auskommentiert, weil diese Datei auch in Installationen ohne Zertifikat
|
|
# liegt und eine Endlosschleife schlimmer waere als fehlendes HTTPS. Vor dem Livegang mit
|
|
# Zertifikat: die drei Zeilen einschalten - und erst danach die HSTS-Zeile weiter unten,
|
|
# denn HSTS laesst sich in einem Browser ein halbes Jahr lang nicht zuruecknehmen.
|
|
#RewriteCond %{HTTPS} !=on
|
|
#RewriteCond %{HTTP:X-Forwarded-Proto} !=https
|
|
#RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
|
|
|
|
# Eine Domain, eine Adresse. Ohne diese Umleitung ist dieselbe Seite unter www und ohne www
|
|
# erreichbar - zwei Adressen fuer denselben Inhalt, und Suchmaschinen muessen raten, welche gilt.
|
|
# Die Richtung muss zu SITE_ORIGIN passen; hier die Fassung "immer mit www".
|
|
#RewriteCond %{HTTP_HOST} !^www\. [NC]
|
|
#RewriteCond %{HTTP_HOST} !^localhost [NC]
|
|
#RewriteCond %{HTTP_HOST} !^127\.0\.0\.1 [NC]
|
|
#RewriteRule ^ https://www.%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
|
|
|
|
# Uebertragen wird komprimiert. HTML, CSS, JavaScript und XML schrumpfen dabei auf etwa ein
|
|
# Viertel; Bilder und Schriften sind bereits komprimiert und bleiben aussen vor.
|
|
<IfModule mod_deflate.c>
|
|
AddOutputFilterByType DEFLATE text/html text/plain text/xml text/css
|
|
AddOutputFilterByType DEFLATE application/javascript application/json application/xml
|
|
AddOutputFilterByType DEFLATE application/rss+xml image/svg+xml
|
|
</IfModule>
|
|
<IfModule mod_brotli.c>
|
|
AddOutputFilterByType BROTLI_COMPRESS text/html text/css application/javascript image/svg+xml
|
|
</IfModule>
|
|
|
|
# Wie lange ein Browser eine Datei behalten darf.
|
|
#
|
|
# Bilder und Schriften tragen ihre Kennung im Namen: aendert sich der Inhalt, aendert sich die
|
|
# Adresse. Sie duerfen deshalb ein Jahr bleiben. Stylesheets und Skripte tragen die Fassung als
|
|
# Parameter, also ebenfalls ein Jahr. HTML wird nie zwischengespeichert - eine veroeffentlichte
|
|
# Aenderung soll beim naechsten Aufruf sichtbar sein; die Seiten senden dafuer selbst no-store.
|
|
<IfModule mod_expires.c>
|
|
ExpiresActive On
|
|
ExpiresByType image/webp "access plus 1 year"
|
|
ExpiresByType image/png "access plus 1 year"
|
|
ExpiresByType image/jpeg "access plus 1 year"
|
|
ExpiresByType image/svg+xml "access plus 1 year"
|
|
ExpiresByType font/woff2 "access plus 1 year"
|
|
ExpiresByType text/css "access plus 1 year"
|
|
ExpiresByType application/javascript "access plus 1 year"
|
|
</IfModule>
|
|
<IfModule mod_headers.c>
|
|
<FilesMatch "\.(webp|png|jpe?g|gif|svg|woff2|css|js)$">
|
|
Header set Cache-Control "public, max-age=31536000, immutable"
|
|
</FilesMatch>
|
|
# Schriften werden von derselben Adresse geladen; die Regel steht hier, damit sie auch dann
|
|
# gilt, wenn eine Installation die Dateien ueber ein CDN spiegelt.
|
|
<FilesMatch "\.woff2$">
|
|
Header set Access-Control-Allow-Origin "*"
|
|
</FilesMatch>
|
|
# Was der Server ueber sich selbst erzaehlt, geht niemanden etwas an: die genaue PHP-Fassung
|
|
# ist fuer einen Besucher wertlos und fuer einen Scanner eine Einkaufsliste.
|
|
Header always unset X-Powered-By
|
|
Header always unset X-AspNet-Version
|
|
# Erst einschalten, wenn HTTPS steht und bleiben soll (siehe oben).
|
|
#Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
|
|
</IfModule>
|
|
|
|
# Nichts ausliefern, was nur intern gebraucht wird - falls jemand das Paket versehentlich
|
|
# vollstaendig in den oeffentlichen Ordner legt statt nur public/.
|
|
<FilesMatch "^\.|\.(env|db|sqlite|lock|md|yaml|yml|dist|log)$">
|
|
Require all denied
|
|
</FilesMatch>
|
|
# Eine Ausnahme mit Grund: der Editor liest die Liste der Gestaltungswerte als JSON.
|
|
<Files "design-tokens.json">
|
|
Require all granted
|
|
</Files>
|