<?php

return [

    /*
    |--------------------------------------------------------------------------
    | HTTP Strict Transport Security
    |--------------------------------------------------------------------------
    |
    | Weist Browser an, die Domain für `max_age` Sekunden nur noch per HTTPS
    | aufzurufen. Wird nur auf HTTPS-Antworten gesetzt und standardmäßig nur
    | in Produktion. Bewusst ohne includeSubDomains und preload: beides
    | lässt sich kaum zurücknehmen und betrifft auch fremd betriebene
    | Subdomains.
    |
    */

    'hsts' => [
        'enabled' => (bool) env('SECURITY_HSTS', env('APP_ENV') === 'production'),
        'max_age' => (int) env('SECURITY_HSTS_MAX_AGE', 31536000),
    ],

    /*
    |--------------------------------------------------------------------------
    | Content Security Policy (Melde-Modus)
    |--------------------------------------------------------------------------
    |
    | Setzt `Content-Security-Policy-Report-Only` auf HTML-Antworten
    | (App\Support\ContentSecurityPolicy). Browser blockieren nichts, sie
    | melden Verstöße an /csp-report → storage/logs/csp-*.log. Standardmäßig
    | nur in Produktion.
    |
    */

    'csp' => [
        'report_only' => (bool) env('SECURITY_CSP_REPORT_ONLY', env('APP_ENV') === 'production'),
    ],

];