# Conteo Express: solo se publican index.php, frontend/ y backend/api/ (cada carpeta interna
# tiene además su propio "Require all denied").
Options -Indexes

# vendor/ se regenera con Composer (perdería su .htaccess): se bloquea desde aquí.
RedirectMatch 403 (^|/)(vendor|database|docs)(/|$)
# lanzador/ es el código fuente y los instaladores del .exe (el MSI lleva la clave de instalación).
# La API del lanzador es backend/api/lanzador/ y esa SÍ se sirve: por eso la excepción.
RedirectMatch 403 (?<!/backend/api)/lanzador(/|$)

# .env (credenciales) y sus copias (.env.example, .env.bak…) nunca se sirven.
<FilesMatch "^(\.env.*|composer\.(json|lock)|README\.md|\.gitignore|\.htaccess)$">
    Require all denied
</FilesMatch>
