server {
  listen 80;
  root /usr/share/nginx/html;
  index index.html;

  server_tokens off;

  # En-têtes de sécurité (l'image nginx par défaut n'en pose aucun).
  add_header X-Frame-Options "DENY" always;
  add_header X-Content-Type-Options "nosniff" always;
  add_header Referrer-Policy "strict-origin-when-cross-origin" always;
  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

  # CSP du site cartographique public : permissive sur script/style/img/connect
  # (Leaflet, tuiles CartoCDN, analytics) pour ne pas casser la carte, mais
  # verrouille les sinks dangereux (object-src, base-uri, frame-ancestors). Les
  # libs CDN sont en plus protégées par SRI (integrity=) dans index.html.
  #
  # ⚠ connect-src liste les hôtes d'API EN DUR (dev + prod), alors que l'URL
  # utilisée par app.js est substituée au build via ARG API_BASE. Ajouter un
  # nouvel environnement impose donc de compléter cette liste, sinon le
  # navigateur bloquera silencieusement tous les appels API.
  add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://unpkg.com https://gc.zgo.at; style-src 'self' 'unsafe-inline' https://unpkg.com https://cdn.jsdelivr.net https://fonts.googleapis.com; font-src 'self' https://fonts.gstatic.com https://cdn.jsdelivr.net data:; img-src 'self' data: https:; connect-src 'self' https://bm.nicolasfryder.ovh https://dev-api.metalfrom.eu https://metalfromeurope.goatcounter.com; object-src 'none'; base-uri 'self'; frame-ancestors 'none'" always;

  location / {
    try_files $uri $uri/ /index.html;
  }
}