# Deny access to config files and sensitive data
<FilesMatch "\.(ini|log|py|pyc|md)$">
    Require all denied
</FilesMatch>

# Alternative for older Apache versions
<IfModule !mod_authz_core.c>
    <FilesMatch "\.(ini|log|py|pyc|md)$">
        Order allow,deny
        Deny from all
    </FilesMatch>
</IfModule>


# 06.08.2026 geprueft: Ein <FilesMatch "\.php$"> waere hier WIRKUNGSLOS. Plesk laesst nginx
# PHP-Dateien direkt an PHP-FPM weiterreichen, die .htaccess wird dafuer nicht ausgewertet.
# Unkritisch: KremplDB.php und tba_render.php definieren nur Klasse bzw. Funktionen und geben
# beim Direktaufruf 0 Bytes aus. Wer sie wirklich sperren will, braucht einen location-Block
# in /var/www/vhosts/system/<domain>/conf/vhost_nginx.conf.
# Die config.ini ist ueber die Regel oben zuverlaessig gesperrt (verifiziert: HTTP 403).