# Plugin-Code ist nie direkt per URL aufrufbar – nur über die Hostseiten (staff/plugin.php, api/staff/v1/plugin.php).
# Statische Dateien (js, css, Bilder) bleiben erreichbar.
<FilesMatch "\.(php|phtml|sql|json|md|txt|log)$">
    <IfModule mod_authz_core.c>
        Require all denied
    </IfModule>
    <IfModule !mod_authz_core.c>
        Order deny,allow
        Deny from all
    </IfModule>
</FilesMatch>
Options -Indexes