X-Frame-Options ALLOWALL (invalide) et X-XSS-Protection retirés. Les location qui
posent leur propre add_header répètent la liste complète, sinon nginx n'hérite
de rien. CSP de l'app et de la landing construites depuis ce que chargent les
builds (PostHog, YouTube sans cookie, OpenStreetMap, blob:, iframe de démo).
Prod seulement : HSTS avec includeSubDomains, ssl_protocols TLSv1.2 TLSv1.3.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Galaxie familiale : personnes, unions et filiations, photos, vidéos et voix sur chaque personne,
partage par lien avec consultation sans compte et contributions validées par le propriétaire.
Auto-hébergeable avec Docker. Licence PolyForm Noncommercial 1.0.0.
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
