# BarKala v173 — هدرهای امنیتی برای cPanel/Apache (معادل فایل _headers مخصوص Netlify)
Options -Indexes
<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "DENY"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "geolocation=(), camera=(self), microphone=(self)"
  # CSP ابتدا در حالت «فقط گزارش» است تا سایت نشکند: بعد از آپلود، کنسول مرورگر (F12) را نگاه کنید.
  # اگر هیچ خطای Content-Security-Policy ندیدید، نام هدر را به Content-Security-Policy تغییر دهید.
  Header always set Content-Security-Policy-Report-Only "default-src 'self'; script-src 'self' 'unsafe-inline' https://cdn.jsdelivr.net; style-src 'self' 'unsafe-inline' https://cdn.jsdelivr.net; img-src 'self' data: blob: https://images.unsplash.com https://api.qrserver.com; font-src 'self' https://cdn.jsdelivr.net data:; media-src 'self' blob: data:; connect-src 'self' https://cdn.jsdelivr.net; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; form-action 'self'"
</IfModule>
# فایل‌های مستندات/تنظیمات از وب بسته باشند
<FilesMatch "\.(md|sql|example)$">
  Require all denied
</FilesMatch>
<FilesMatch "^_headers$">
  Require all denied
</FilesMatch>
