# docker/web/app-ssl.conf — include do vhost SSL do Apache (WHM) — NÃO é cópia do app.conf
#
# Instalar SÓ no escopo ssl:
#   /etc/apache2/conf.d/userdata/ssl/2_4/<acct>/<domain>/app-ssl.conf
# (o escopo std continua só com `app.conf`).
#
# Dono do TLS/HSTS é o Apache (termina o TLS); o `web` (Caddy) nunca emite HSTS.
# O `up_prod.sh`/`security-check` tratam este arquivo como parte do contrato do host.

<IfModule mod_headers.c>
    # Caddy → php-fpm: $request->isSecure() e a geração de URL confiável dependem disto
    # (o backend confia no proxy: TrustProxies/TrustHosts).
    RequestHeader set X-Forwarded-Proto "https"

    # 1ª janela SEM `preload`: só depois de confirmar que TODOS os subdomínios
    # (www/cms/api/storage) respondem HTTPS. max-age = 1 ano.
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>