# ==============================================================================
# 2026 Kurumsal Web Siber Güvenlik ve Edge Başlık Standartları
# Enterprise Web Cybersecurity & Edge Header Standards (2026 Production Spec)
# Mimar: Onur Aksoy (Hackonomist) — https://onuraksoy.com.tr
#
# Hedef: Cloudflare Edge (Transform Rules), Nginx 1.26+, ve Caddy 2.8+
# Kapsam: Sub-50ms SSG İzolasyonu, Zero-JS Savunması, HSTS Preload, Strict CSP,
#         Cross-Origin Isolation ve VIP AI Bot / WAF Yönetimi.
# ==============================================================================

# ------------------------------------------------------------------------------
# 1. NGINX KORUMA BLOĞU (Server / Location Context)
# ------------------------------------------------------------------------------

# HTTP Strict Transport Security (HSTS)
# 2 yıllık zorunlu HTTPS (63072000s), alt alan adları dahil ve Google Chrome/Mozilla Preload listesi hazır.
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

# Content Security Policy (CSP Level 3 - Zero-JS / Katı SSG Uyumlu)
# İstemci tarafında keyfi JavaScript enjeksiyonunu (XSS) donanımsal olarak kısıtlar.
# Inline script ve eval() blokları tamamen yasaklanmıştır.
add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://static.cloudflareinsights.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https: blob:; font-src 'self' data:; connect-src 'self' https://cloudflareinsights.com; media-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'none'; upgrade-insecure-requests; block-all-mixed-content;" always;

# Clickjacking Koruması: Sitenin <iframe> içinde başka bir alan adında açılmasını engeller.
add_header X-Frame-Options "DENY" always;

# MIME Sniffing Engeli: Tarayıcının Content-Type dışındaki içerikleri tahmin etmesini önler.
add_header X-Content-Type-Options "nosniff" always;

# Referrer Policy: Dış bağlantılara geçerken hassas URL parametrelerini gizler, yalnızca kök alan adını aktarır.
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# Modern İzinler Politikası (Permissions-Policy):
# Tarayıcı donanım erişimlerini (kamera, mikrofon, coğrafi konum, bluetooth, usb, pil) sıfırlar.
add_header Permissions-Policy "accelerometer=(), ambient-light-sensor=(), autoplay=(), battery=(), camera=(), display-capture=(), document-domain=(), encrypted-media=(), execution-while-not-rendered=(), execution-while-out-of-viewport=(), fullscreen=(self), geolocation=(), gyroscope=(), hid=(), idle-detection=(), magnetometer=(), microphone=(), midi=(), navigation-override=(), payment=(), picture-in-picture=(self), publickey-credentials-get=(), screen-wake-lock=(), serial=(), speaker-selection=(), sync-xhr=(), usb=(), web-share=(self), xr-spatial-tracking=()" always;

# Cross-Origin İzolasyon Başlıkları (Spectre ve Yan Kanal Saldırı Koruması)
add_header Cross-Origin-Opener-Policy "same-origin" always;
add_header Cross-Origin-Embedder-Policy "require-corp" always;
add_header Cross-Origin-Resource-Policy "same-origin" always;

# X-XSS-Protection (Eski tarayıcılar için legacy filtresi)
add_header X-XSS-Protection "1; mode=block" always;


# ------------------------------------------------------------------------------
# 2. CLOUDFLARE EDGE TRANSFORM RULES (Cloudflare Dashboard / Terraform Formatı)
# ------------------------------------------------------------------------------
# Rule Name: "2026-Enterprise-Security-Edge-Headers"
# Expression: (http.request.uri.path ne "")
# Action: Modify Response Headers (Set Static)
#
# Header Name                        | Value
# -----------------------------------|--------------------------------------------------
# Strict-Transport-Security          | max-age=63072000; includeSubDomains; preload
# X-Frame-Options                    | DENY
# X-Content-Type-Options             | nosniff
# Referrer-Policy                    | strict-origin-when-cross-origin
# Permissions-Policy                 | camera=(), microphone=(), geolocation=(), payment=()
# Cross-Origin-Opener-Policy         | same-origin
# Cross-Origin-Resource-Policy       | same-origin


# ------------------------------------------------------------------------------
# 3. CLOUDFLARE WAF & VIP AI BOT YÖNETİM KURALLARI (WAF Expression Syntax)
# ------------------------------------------------------------------------------
#
# Kural A: Doğrulanmış Arama ve AI Botlarına İzin Ver (Whitelist Search & Indexing)
# Expression:
# (cf.client.bot and http.user_agent contains "Googlebot") or
# (cf.client.bot and http.user_agent contains "Bingbot") or
# (cf.client.bot and http.user_agent contains "OAI-SearchBot") or
# (cf.client.bot and http.user_agent contains "PerplexityBot")
# Action: Allow / Bypass WAF Managed Challenges
#
# Kural B: Yetkisiz LLM Kazıyıcıları ve Agresif Botları Edge Seviyesinde Sınırla
# Expression:
# (not cf.client.bot and http.user_agent matches "(?i)(bytespider|gptbot|claudebot|ccbot|anthropic-ai|semrushbot|ahrefsbot)") and
# (http.request.uri.path matches "^/(vault|api)/")
# Action: Block (403 Forbidden) veya Managed Challenge
#
# Kural C: WordPress / PHP Zafiyet Tarayıcılarını Anında Düşür (Zero Vulnerability Surface)
# SSG mimarisinde PHP çalışmadığı halde bot trafiğini engellemek için:
# Expression:
# (http.request.uri.path contains "wp-login.php") or
# (http.request.uri.path contains "wp-admin") or
# (http.request.uri.path contains "xmlrpc.php") or
# (http.request.uri.path contains "/.env") or
# (http.request.uri.path contains "/vendor/")
# Action: Block (403 Forbidden - Zero Delay)
#
# ------------------------------------------------------------------------------
# 4. STATİK ÖNBELLEKLEME & DEĞİŞMEZLİK (Cache-Control for SSG Assets)
# ------------------------------------------------------------------------------
# location ~* \.(?:css|js|webp|avif|woff2|svg)$ {
#     expires 1y;
#     add_header Cache-Control "public, max-age=31536000, immutable";
#     access_log off;
# }