# Permite acesso direto às fotos (usadas como <img src>), mas bloqueia listagem do diretório
Options -Indexes

# Nunca executa PHP dentro desta pasta, mesmo que alguém consiga enviar um arquivo .php disfarçado
<FilesMatch "\.(php|phtml|php\d)$">
  Require all denied
</FilesMatch>
