# config/packages/dev/nelmio_security.yaml
# ─────────────────────────────────────────────────────────────
#  CSP élargie – DEV UNIQUEMENT – pour laisser passer Vite HMR
#  (HTTP + WebSocket).  Tout est en mode "report-only".
# ─────────────────────────────────────────────────────────────

nelmio_security:
    csp:
        enabled: true          # garde la fonctionnalité CSP activée

        ###########################################################
        #  Tout ce qui suit sera envoyé via
        #  Content-Security-Policy-Report-Only
        ###########################################################
        report:
            default-src:
                - "'self'"

            script-src:
                - "'self'"
                - https://cdnjs.cloudflare.com
                - https://cdn.jsdelivr.net
                - https://js.stripe.com
                - https://quickoffer.ddev.site:5174      # Vite dev-server
                - "'unsafe-inline'"
                - "'unsafe-eval'"

            style-src:
                - "'self'"
                - https://fonts.googleapis.com
                - https://cdn.jsdelivr.net
                - "'unsafe-inline'"

            img-src:
                - "'self'"
                - "data:"

            font-src:
                - "'self'"
                - https://fonts.gstatic.com

            frame-src:
                - https://js.stripe.com

            # indispensable pour le WebSocket HMR et les requêtes XHR Vite
            connect-src:
                - "'self'"
                - https://quickoffer.ddev.site:5174
                - wss://quickoffer.ddev.site:5174
