nelmio_security:
    csp:
        enforce:
            script-src:
                - 'self'
                - 'nonce'
                - 'https://static.cloudflareinsights.com'
                - 'https://challenges.cloudflare.com'

            # Restreindre les soumissions de formulaires à notre domaine
            # et aux redirections OAuth des plateformes de partage social
            form-action:
                - 'self'
                - 'https://www.facebook.com'
                - 'https://x.com'
                - 'https://twitter.com'

            # Autoriser navigator.share() (Web Share API) et clipboard API
            # — les deux sont des APIs navigateur natives, pas des appels réseau externes
            # Ce bloc est présent pour documentation et futures intégrations
            connect-src:
                - 'self'