# Todo lo que se sube aqui viene de fuera: las imagenes y los logos los pone el
# operador, y los adjuntos de WhatsApp los manda un cliente. Nada de eso tiene
# que poder ejecutarse nunca, asi que se corta el interprete.
#
# Antes de esto la carpeta era solo de imagenes y no habia riesgo. En cuanto se
# guardan aqui los adjuntos que llegan de WhatsApp, el fichero ya no lo elige
# el operador: lo pone el servicio, pero el contenido viene de un movil
# cualquiera. El nombre lo pone el sistema (wa_<terminal>_<id>.<ext>) y la
# extension sale del contenido real, asi que no deberia poder colarse un .php,
# pero que no pueda ejecutarse no depende de que el codigo este bien.
Options -Indexes -ExecCGI

<FilesMatch "\.(?i:php|php[0-9]|phtml|phps|phar|pl|py|cgi|asp|aspx|sh|exe|bat|cmd|com|htaccess)$">
    # Ademas de quitar el interprete, se niegan los DontExec/MultiViews/Script
    # Source, que son los que hacen que un modulo de Apache lo sirva o lo corra.
    Require all denied
</FilesMatch>

# Los adjuntos de WhatsApp se descargan con su nombre del sistema y se abren con
# <img> o <audio>, asi que el navegador tiene que poder leerlos pero no listar la
# carpeta. Este "IndexFile" vacio, junto con -Indexes, quita el listado automatico.
DirectoryIndex disabled

AddType text/plain .php .phtml .pl .py .cgi .asp .aspx