# Bilder Upload Script: Ordner der Vorschaubilder. Jede Skriptausführung ist
# abgeschaltet.

<FilesMatch "(?i)\.(php\d*|phtml?|pht|phar|phps|cgi|pl|py|asp|aspx|sh)$">
    <IfModule mod_authz_core.c>
        Require all denied
    </IfModule>
    <IfModule !mod_authz_core.c>
        Order deny,allow
        Deny from all
    </IfModule>
</FilesMatch>

<IfModule php_module>
    php_flag engine off
</IfModule>
<IfModule mod_php.c>
    php_flag engine off
</IfModule>
<IfModule mod_php7.c>
    php_flag engine off
</IfModule>

RemoveHandler .php .phtml .pht .phar .phps .cgi .pl .py
RemoveType .php .phtml .pht .phar .phps

# Browser sollen den Dateityp nicht erraten (eine Textdatei bleibt Text), und
# eine Datei, die doch als Webseite geöffnet wird, darf keine Skripte ausführen.
<IfModule mod_headers.c>
    Header set X-Content-Type-Options "nosniff"
    Header set Content-Security-Policy "sandbox"
</IfModule>
