DirectoryIndex index.php
Options -Indexes

# Nur die PHP-Dateien (index.php, api.php, briefing_cron.php mit Token) sind von außen erreichbar
<FilesMatch "\.(md|py|txt|json|csv|html|bak|tmp)$">
    Require all denied
</FilesMatch>

# HTTPS erzwingen (auskommentieren, falls der Hoster das schon selbst macht)
<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{HTTPS} off
    RewriteCond %{HTTP:X-Forwarded-Proto} !https
    RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</IfModule>
