# Naglowki bezpieczenstwa dla wszystkich odpowiedzi. Dolaczane w bloku server ORAZ w kazdym
# location z wlasnym add_header - nginx nie dziedziczy add_header z server do takiego location.

# Przegladarka nie zgaduje typu pliku (obrazek nie zostanie wykonany jako HTML/skrypt).
add_header X-Content-Type-Options "nosniff" always;
# Serwis nie moze byc osadzony w ramce na obcej stronie (clickjacking).
add_header X-Frame-Options "SAMEORIGIN" always;
# Adres podstrony (np. z identyfikatorem rozmowy) nie wycieka do obcych serwisow.
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
# Tylko HTTPS przez rok. TLS terminuje nginx hosta; przy http://localhost przegladarka ignoruje naglowek.
add_header Strict-Transport-Security "max-age=31536000" always;
# Bez dostepu do kamery/mikrofonu/platnosci przegladarki; geolokalizacja tylko dla samego serwisu.
add_header Permissions-Policy "camera=(), microphone=(), payment=(), geolocation=(self)" always;
# Minimalna polityka CSP, ktora nie ogranicza skryptow ani zasobow aplikacji: blokuje wtyczki,
# podmiane <base> i osadzanie w obcych ramkach.
add_header Content-Security-Policy "object-src 'none'; base-uri 'self'; frame-ancestors 'self'" always;