# Không lưu secret trong .htaccess hoặc repo.
# Secrets phải nằm ngoài webroot và được load từ config.php.

# Chặn truy cập trực tiếp vào các file nhạy cảm / debug / log
<FilesMatch "^(config|check_login|debug-ai|debug_fb|env|test-webhook|webhook_log|cron)\.php$|^webhook_debug\.log$">
    Require all denied
</FilesMatch>

# Tắt hiển thị index listing nếu cần
Options -Indexes
