# ============================================================
#  .htaccess — À déposer dans /psychedeclic/api/
#  Version : 2026-07-09 (fusion des deux versions précédentes)
#
#  Contient DEUX protections complémentaires :
#  1. Désactivation du pare-feu applicatif OVH (mod_security)
#     pour ce dossier — sans elle, le WAF bloque à tort les
#     requêtes JSON de l'application (erreurs 403 / « Erreur réseau »).
#     Sécurité maintenue par la clé API (X-API-Key) et les
#     requêtes SQL préparées (PDO).
#  2. Blocage de l'accès HTTP direct aux fichiers sensibles :
#     - config.php     : secrets (BDD, clés API, Google, LOGIN_HASH)
#     - gcal_token.txt : refresh token Google Calendar
#     Ces fichiers restent lisibles par PHP (require_once,
#     file_get_contents), jamais par le navigateur.
# ============================================================

# ── 1. Désactivation du pare-feu applicatif ─────────────────
# mod_security v2 (Apache moderne / OVH)
<IfModule mod_security2.c>
    SecRuleEngine Off
</IfModule>

# mod_security v1 (ancien)
<IfModule mod_security.c>
    SecFilterEngine Off
    SecFilterScanPOST Off
</IfModule>

# ── 2. Blocage HTTP des fichiers sensibles ──────────────────
<FilesMatch "^(config\.php|gcal_token\.txt)$">
    <IfModule mod_authz_core.c>
        Require all denied
    </IfModule>
    <IfModule !mod_authz_core.c>
        Order allow,deny
        Deny from all
    </IfModule>
</FilesMatch>