# TP22 partie 3 : reverse proxy à durcir pour corriger des alertes ZAP.
server {
    listen 80;

    # TODO : ne plus annoncer la version de Nginx (server_tokens off;)
    # TODO : ajouter les en-têtes de sécurité (add_header ... always;) :
    #   - X-Content-Type-Options "nosniff"
    #   - X-Frame-Options "DENY" (ou CSP frame-ancestors 'none')
    #   - Referrer-Policy "strict-origin-when-cross-origin"
    #   - Permissions-Policy "camera=(), microphone=(), geolocation=()"
    #   - Content-Security-Policy : commencez par Content-Security-Policy-Report-Only pour ne rien casser
    # TODO : masquer l'en-tête X-Powered-By renvoyé par l'application (proxy_hide_header)

    location / {
        proxy_pass http://juice-shop:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}