# ===== Engetriz - .htaccess da raiz (public_html) =====
# IMPORTANTE: se o .htaccess atual tiver um bloco
#   "# php -- BEGIN cPanel-generated handler ... # php -- END cPanel-generated handler"
# copie esse bloco para cá, sem mudar nada. Ele define a versão do PHP.
# Apague só o bloco "# BEGIN WordPress ... # END WordPress".

# Sempre HTTPS
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

# Não listar arquivos de pastas
Options -Indexes

# Bloquear arquivos que nunca devem ser baixados pelo navegador
<FilesMatch "\.(sql|zip|gz|tar|rar|7z|log|bak|old|ini|env|sh|md)$">
  Require all denied
</FilesMatch>
<FilesMatch "^(\.|wp-config|xmlrpc|config\.php)">
  Require all denied
</FilesMatch>

# Cabeçalhos de segurança
<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Strict-Transport-Security "max-age=31536000"
  Header unset X-Powered-By
</IfModule>

ServerSignature Off