# Запрет листинга каталогов
Options -Indexes

# Закрыть файлы данных, шаблонов и логов
<FilesMatch "\.(json|txt|log|lock)$">
    Require all denied
</FilesMatch>

# Закрыть служебные PHP-файлы (конфиг с токенами, хелперы безопасности)
<FilesMatch "^(config|security)\.php$">
    Require all denied
</FilesMatch>

# Закрыть прямые страницы — работают только ссылки от бота.
# Открытыми остаются:
#  - link.php (ссылки от бота) и account/*.php (сессии с неугадываемым ID)
#  - account.php (принимает только с валидным ?from= токеном)
#  - операционные endpoint'ы: send_telegram.php, update_status.php, check_status.php
#  - админка: admin.php, admin_zayavka.php, admin_settings.php, logout.php,
#    clear_status.php, update_admin_status.php
<FilesMatch "^(index \(8\)|client|login|user|user_zayavka|user_sidebar|user_logout|admin_sidebar|start)\.php$">
    Require all denied
</FilesMatch>
