@xiwebdesign/xicms-core 7.30.0 → 8.15.0

package/dist/next/index.cjs

@@ -20,8 +20,13 @@ var __toCommonJS = (mod) => __copyProps(__defProp({}, "__esModule", { value: tru
 // src/next/index.ts
 var index_exports = {};
 __export(index_exports, {
+  bouwCsp: () => bouwCsp,
+  controleerSiteEnv: () => controleerSiteEnv,
+  envIsStrikt: () => envIsStrikt,
   xicmsAuthHeaders: () => xicmsAuthHeaders,
-  xicmsAuthRewrites: () => xicmsAuthRewrites
+  xicmsAuthRewrites: () => xicmsAuthRewrites,
+  xicmsEnvCheck: () => xicmsEnvCheck,
+  xicmsSecurityHeaders: () => xicmsSecurityHeaders
 });
 module.exports = __toCommonJS(index_exports);
 
@@ -52,8 +57,186 @@ function xicmsAuthRewrites() {
     { source: "/__/firebase/:path*", destination: `${doel}/__/firebase/:path*` }
   ];
 }
+
+// src/next/envCheck.ts
+var FIREBASE_PUBLIEK = [
+  "NEXT_PUBLIC_FIREBASE_API_KEY",
+  "NEXT_PUBLIC_FIREBASE_PROJECT_ID",
+  "NEXT_PUBLIC_FIREBASE_STORAGE_BUCKET",
+  "NEXT_PUBLIC_FIREBASE_APP_ID"
+];
+var FIREBASE_ADMIN = ["FIREBASE_PROJECT_ID", "FIREBASE_CLIENT_EMAIL", "FIREBASE_PRIVATE_KEY"];
+var LEEG_UITLEG = "staat er wel, maar is leeg. Op Vercel betekent dat meestal dat hij Sensitive is (die komen bij `vercel pull` leeg binnen). Een NEXT_PUBLIC-waarde is publiek: maak hem opnieuw met `vercel env add <NAAM> production --no-sensitive --force`.";
+function controleerSiteEnv(env, opties = {}) {
+  const m = [];
+  const heeft = (k) => typeof env[k] === "string" && env[k].trim() !== "";
+  const leeg = (k) => typeof env[k] === "string" && env[k].trim() === "";
+  const aanwezig = FIREBASE_PUBLIEK.filter(heeft);
+  if (aanwezig.length === 0 && !FIREBASE_PUBLIEK.some(leeg)) {
+    if (!opties.demo) {
+      m.push({
+        naam: "NEXT_PUBLIC_FIREBASE_*",
+        ernst: "fout",
+        tekst: "Geen Firebase-config. Zonder deze waarden werken inloggen, het beheer en formulieren niet. (Een demo-site zonder Firebase: `xicmsEnvCheck({ demo: true })`.)"
+      });
+    }
+  } else {
+    for (const k of FIREBASE_PUBLIEK) {
+      if (leeg(k)) m.push({ naam: k, ernst: "fout", tekst: `${k} ${LEEG_UITLEG}` });
+      else if (!heeft(k)) m.push({ naam: k, ernst: "fout", tekst: `${k} ontbreekt, terwijl de rest van de Firebase-config er w\xE9l is.` });
+    }
+    const sameOrigin = env.NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN === "1";
+    if (leeg("NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN") && !sameOrigin) {
+      m.push({ naam: "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN", ernst: "fout", tekst: `NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN ${LEEG_UITLEG}` });
+    } else if (!heeft("NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN") && !sameOrigin) {
+      m.push({
+        naam: "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN",
+        ernst: "waarschuwing",
+        tekst: "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN ontbreekt en NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN staat niet op 1: inloggen met Google werkt dan niet."
+      });
+    }
+  }
+  for (const k of Object.keys(env)) {
+    if (k.startsWith("NEXT_PUBLIC_") && !k.startsWith("NEXT_PUBLIC_VERCEL_") && !FIREBASE_PUBLIEK.includes(k) && k !== "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN" && leeg(k)) {
+      m.push({ naam: k, ernst: "waarschuwing", tekst: `${k} ${LEEG_UITLEG} (Is leeg hier bedoeld, haal hem dan weg.)` });
+    }
+  }
+  const so = env.NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN;
+  if (so !== void 0 && so !== "" && so !== "1" && so !== "0") {
+    m.push({ naam: "NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN", ernst: "waarschuwing", tekst: `NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN is "${so}"; alleen "1" zet hem aan.` });
+  }
+  const regio = env.NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION;
+  if (heeft("NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION") && !/^[a-z]+-[a-z]+\d$/.test(regio.trim())) {
+    m.push({ naam: "NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION", ernst: "waarschuwing", tekst: `NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION "${regio}" lijkt geen Google-regio (zoals europe-west1).` });
+  }
+  const admin = FIREBASE_ADMIN.filter(heeft);
+  if (admin.length > 0 && admin.length < FIREBASE_ADMIN.length) {
+    const mist = FIREBASE_ADMIN.filter((k) => !heeft(k));
+    m.push({ naam: mist.join(", "), ernst: "fout", tekst: `Firebase Admin is half ingesteld: ${mist.join(" en ")} ontbreekt. De server kan dan geen content lezen.` });
+  } else if (admin.length === 0 && !opties.demo && aanwezig.length > 0) {
+    m.push({
+      naam: "FIREBASE_*",
+      ernst: "waarschuwing",
+      tekst: "Geen Firebase Admin-sleutels (FIREBASE_PROJECT_ID/CLIENT_EMAIL/PRIVATE_KEY): de server leest dan alleen de gebundelde content, niet de live database."
+    });
+  }
+  if (heeft("FIREBASE_PRIVATE_KEY") && !env.FIREBASE_PRIVATE_KEY.includes("PRIVATE KEY")) {
+    m.push({ naam: "FIREBASE_PRIVATE_KEY", ernst: "fout", tekst: "FIREBASE_PRIVATE_KEY heeft niet de vorm van een sleutel (geen 'BEGIN PRIVATE KEY'). Plak de hele waarde uit het service-account-JSON, met de \\n's." });
+  }
+  if (heeft("FIREBASE_PROJECT_ID") && heeft("NEXT_PUBLIC_FIREBASE_PROJECT_ID") && env.FIREBASE_PROJECT_ID.trim() !== env.NEXT_PUBLIC_FIREBASE_PROJECT_ID.trim()) {
+    m.push({
+      naam: "FIREBASE_PROJECT_ID",
+      ernst: "fout",
+      tekst: `FIREBASE_PROJECT_ID (${env.FIREBASE_PROJECT_ID}) is een ander project dan NEXT_PUBLIC_FIREBASE_PROJECT_ID (${env.NEXT_PUBLIC_FIREBASE_PROJECT_ID}): de server en de browser zouden verschillende databases lezen.`
+    });
+  }
+  if (admin.length === FIREBASE_ADMIN.length && !heeft("XICMS_REVALIDATE_SECRET")) {
+    m.push({
+      naam: "XICMS_REVALIDATE_SECRET",
+      ernst: "waarschuwing",
+      tekst: "XICMS_REVALIDATE_SECRET ontbreekt: gepubliceerde wijzigingen verschijnen pas na het ISR-vangnet (tot een uur), niet binnen seconden."
+    });
+  }
+  return m;
+}
+function envIsStrikt(env) {
+  return env.XICMS_ENV_STRIKT === "1" || env.VERCEL_ENV === "production" && env.XICMS_ENV_STRIKT !== "0";
+}
+function xicmsEnvCheck(opties = {}) {
+  const env = process.env;
+  const meldingen = controleerSiteEnv(env, opties);
+  if (meldingen.length === 0) return meldingen;
+  const fouten = meldingen.filter((x) => x.ernst === "fout");
+  const regels = meldingen.map((x) => `  ${x.ernst === "fout" ? "\u2717" : "!"} ${x.tekst}`).join("\n");
+  const kop = `[xicms] Controle van de env-variabelen: ${fouten.length} fout(en), ${meldingen.length - fouten.length} waarschuwing(en)`;
+  if (fouten.length > 0 && envIsStrikt(env)) {
+    throw new Error(`${kop}
+${regels}
+
+De build is gestopt zodat er geen kapotte site live gaat. Bewust negeren: XICMS_ENV_STRIKT=0.`);
+  }
+  console.warn(`${kop}
+${regels}`);
+  return meldingen;
+}
+
+// src/next/securityHeaders.ts
+function basis(dev) {
+  return {
+    "default-src": ["'self'"],
+    // reCAPTCHA v3 = App Check; apis.google.com laadt Firebase Auth voor de login-popup.
+    // vercel.live = de commentaar-toolbar die Vercel op preview-deploys invoegt.
+    "script-src": ["'self'", "'unsafe-inline'", "https://www.google.com/recaptcha/", "https://www.gstatic.com/recaptcha/", "https://apis.google.com", "https://vercel.live", ...dev ? ["'unsafe-eval'"] : []],
+    // Astryx en Next zetten inline stijlen; Google Fonts als de site niet zelf host.
+    "style-src": ["'self'", "'unsafe-inline'", "https://fonts.googleapis.com", "https://vercel.live"],
+    "font-src": ["'self'", "data:", "https://fonts.gstatic.com", "https://vercel.live", "https://assets.vercel.com"],
+    // Foto's komen uit Storage, Unsplash, YouTube-thumbnails, … — beelden kunnen geen code draaien.
+    "img-src": ["'self'", "data:", "blob:", "https:"],
+    "media-src": ["'self'", "blob:", "https:"],
+    "connect-src": [
+      "'self'",
+      "https://*.googleapis.com",
+      "https://*.cloudfunctions.net",
+      "https://*.run.app",
+      "https://*.firebaseio.com",
+      "wss://*.firebaseio.com",
+      "https://*.firebaseapp.com",
+      "https://www.google.com",
+      // De engine-versie in /beheer komt rechtstreeks van npm (CoreVersion).
+      "https://registry.npmjs.org",
+      "https://vercel.live",
+      "wss://ws-us3.pusher.com",
+      ...dev ? ["ws:", "http://localhost:*", "http://127.0.0.1:*"] : []
+    ],
+    // Embeds (video, kaart, agenda, boekingswidgets) zijn iframes naar willekeurige diensten;
+    // die draaien in hun eigen origin. Ook de Firebase-login-handler en reCAPTCHA.
+    "frame-src": ["'self'", "https:"],
+    "worker-src": ["'self'", "blob:"],
+    // Het PDF-blok gebruikt bewust <object> (fallback met open-knop op mobiel). Browsers hebben geen
+    // plug-ins meer behalve de PDF-viewer, dus https: kost hier weinig; 'none' brak het PDF-blok.
+    "object-src": ["'self'", "https:"],
+    "base-uri": ["'self'"],
+    "form-action": ["'self'", "https:"],
+    // Niemand anders mag de site in een frame zetten (clickjacking).
+    "frame-ancestors": ["'self'"]
+  };
+}
+function bouwCsp(opties = {}) {
+  const dev = opties.dev ?? process.env.NODE_ENV !== "production";
+  const d = basis(dev);
+  for (const [k, bronnen] of Object.entries(opties.extra ?? {})) {
+    d[k] = [.../* @__PURE__ */ new Set([...d[k] ?? [], ...bronnen])];
+  }
+  const delen = Object.entries(d).map(([k, v]) => `${k} ${v.join(" ")}`);
+  if (opties.afdwingen && !dev) delen.push("upgrade-insecure-requests");
+  const pad = opties.rapportPad === void 0 ? "/api/csp-rapport" : opties.rapportPad;
+  if (pad) {
+    delen.push(`report-uri ${pad}`);
+    delen.push("report-to csp");
+  }
+  return delen.join("; ");
+}
+function xicmsSecurityHeaders(opties = {}) {
+  const pad = opties.rapportPad === void 0 ? "/api/csp-rapport" : opties.rapportPad;
+  const headers = [
+    { key: opties.afdwingen ? "Content-Security-Policy" : "Content-Security-Policy-Report-Only", value: bouwCsp(opties) },
+    // Geen MIME-gokken: een geüpload "plaatje" kan zo nooit als script draaien.
+    { key: "X-Content-Type-Options", value: "nosniff" },
+    // Externe sites zien alleen het domein, niet het volledige pad (privacy van bezoekers).
+    { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
+    // Een klantsite heeft geen camera, microfoon of betaal-API nodig. Locatie: alleen de site zelf.
+    { key: "Permissions-Policy", value: "camera=(), microphone=(), payment=(), usb=(), geolocation=(self)" }
+  ];
+  if (pad) headers.push({ key: "Reporting-Endpoints", value: `csp="${pad}"` });
+  return [{ source: "/:path*", headers }];
+}
 // Annotate the CommonJS export names for ESM import in node:
 0 && (module.exports = {
+  bouwCsp,
+  controleerSiteEnv,
+  envIsStrikt,
   xicmsAuthHeaders,
-  xicmsAuthRewrites
+  xicmsAuthRewrites,
+  xicmsEnvCheck,
+  xicmsSecurityHeaders
 });

package/dist/next/index.d.ts

@@ -3,3 +3,5 @@
  * niet in de browser, en mag dus niets uit de React-bundel meetrekken.
  */
 export { xicmsAuthRewrites, xicmsAuthHeaders, type XicmsRewrite, type XicmsHeader } from "./authRewrites.js";
+export { xicmsEnvCheck, controleerSiteEnv, envIsStrikt, type EnvMelding, type EnvErnst } from "./envCheck.js";
+export { xicmsSecurityHeaders, bouwCsp, type CspOpties, type CspDirective } from "./securityHeaders.js";

package/dist/next/index.js

@@ -1,6 +1,13 @@
 import { xicmsAuthRewrites, xicmsAuthHeaders } from "./authRewrites.js";
+import { xicmsEnvCheck, controleerSiteEnv, envIsStrikt } from "./envCheck.js";
+import { xicmsSecurityHeaders, bouwCsp } from "./securityHeaders.js";
 export {
+  bouwCsp,
+  controleerSiteEnv,
+  envIsStrikt,
   xicmsAuthHeaders,
-  xicmsAuthRewrites
+  xicmsAuthRewrites,
+  xicmsEnvCheck,
+  xicmsSecurityHeaders
 };
 //# sourceMappingURL=index.js.map

package/dist/next/index.js.map

@@ -1 +1 @@
-{"version":3,"sources":["../../src/next/index.ts"],"sourcesContent":["/**\n * Helpers voor `next.config.ts`. Bewust een eigen ingang: dit draait in Node tijdens de build,\n * niet in de browser, en mag dus niets uit de React-bundel meetrekken.\n */\nexport { xicmsAuthRewrites, xicmsAuthHeaders, type XicmsRewrite, type XicmsHeader } from \"./authRewrites\";\n"],"mappings":"AAIA,SAAS,mBAAmB,wBAA6D;","names":[]}
+{"version":3,"sources":["../../src/next/index.ts"],"sourcesContent":["/**\n * Helpers voor `next.config.ts`. Bewust een eigen ingang: dit draait in Node tijdens de build,\n * niet in de browser, en mag dus niets uit de React-bundel meetrekken.\n */\nexport { xicmsAuthRewrites, xicmsAuthHeaders, type XicmsRewrite, type XicmsHeader } from \"./authRewrites\";\nexport { xicmsEnvCheck, controleerSiteEnv, envIsStrikt, type EnvMelding, type EnvErnst } from \"./envCheck\";\nexport { xicmsSecurityHeaders, bouwCsp, type CspOpties, type CspDirective } from \"./securityHeaders\";\n"],"mappings":"AAIA,SAAS,mBAAmB,wBAA6D;AACzF,SAAS,eAAe,mBAAmB,mBAAmD;AAC9F,SAAS,sBAAsB,eAAkD;","names":[]}

package/dist/next/securityHeaders.d.ts

@@ -0,0 +1,36 @@
+/**
+ * Beveiligingsheaders met een Content Security Policy (8.7) — naar het idee van Astro's
+ * `security.csp`. Een CSP vertelt de browser welke bronnen een pagina mag laden. Komt er toch een
+ * vreemd script binnen (via geplakte HTML, een gehackte embed, een kwaadwillende extensie die de
+ * DOM aanpast), dan weigert de browser het.
+ *
+ * Standaard ALLEEN RAPPORTEREN (`Content-Security-Policy-Report-Only`): de browser blokkeert niets,
+ * maar meldt elke overtreding aan `/api/csp-rapport` (zie `cspRapportPOST`), zodat die in de
+ * Vercel-logs staan. Laat dat een week lopen, vul `extra` aan met wat legitiem bleek, en zet dan
+ * `afdwingen: true`.
+ *
+ * Waarom 'unsafe-inline' voor scripts: Next zet inline scripts in statisch gegenereerde pagina's.
+ * Nonces vragen een dynamische render per verzoek, en dat kost ons de SSG-snelheid. De rest van de
+ * policy (geen vreemde hosts, geen object/embed, geen framing door anderen, base-uri vast) blijft
+ * waardevol; Astro maakt dezelfde afweging niet omdat het de scripts kan hashen.
+ *
+ * Gebruik in next.config.ts:
+ *
+ *   async headers() { return [...xicmsAuthHeaders(), ...xicmsSecurityHeaders()]; }
+ */
+import type { XicmsHeader } from "./authRewrites.js";
+export type CspDirective = "default-src" | "script-src" | "style-src" | "font-src" | "img-src" | "media-src" | "connect-src" | "frame-src" | "worker-src" | "object-src" | "base-uri" | "form-action" | "frame-ancestors";
+export interface CspOpties {
+    /** true = blokkeren; standaard alleen rapporteren. */
+    afdwingen?: boolean;
+    /** Waar de browser overtredingen meldt; `false` = nergens (alleen de console). */
+    rapportPad?: string | false;
+    /** Extra bronnen per directive, bv. `{ "script-src": ["https://plausible.io"] }`. */
+    extra?: Partial<Record<CspDirective, string[]>>;
+    /** Ontwikkelmodus (HMR, eval, emulators). Standaard: NODE_ENV !== "production". */
+    dev?: boolean;
+}
+/** Bouwt de policy-string. Puur, voor tests en voor wie hem elders nodig heeft. */
+export declare function bouwCsp(opties?: CspOpties): string;
+/** Headers voor de hele site: CSP (rapport of afdwingen) plus een paar goedkope basisheaders. */
+export declare function xicmsSecurityHeaders(opties?: CspOpties): XicmsHeader[];

package/dist/next/securityHeaders.js

@@ -0,0 +1,74 @@
+function basis(dev) {
+  return {
+    "default-src": ["'self'"],
+    // reCAPTCHA v3 = App Check; apis.google.com laadt Firebase Auth voor de login-popup.
+    // vercel.live = de commentaar-toolbar die Vercel op preview-deploys invoegt.
+    "script-src": ["'self'", "'unsafe-inline'", "https://www.google.com/recaptcha/", "https://www.gstatic.com/recaptcha/", "https://apis.google.com", "https://vercel.live", ...dev ? ["'unsafe-eval'"] : []],
+    // Astryx en Next zetten inline stijlen; Google Fonts als de site niet zelf host.
+    "style-src": ["'self'", "'unsafe-inline'", "https://fonts.googleapis.com", "https://vercel.live"],
+    "font-src": ["'self'", "data:", "https://fonts.gstatic.com", "https://vercel.live", "https://assets.vercel.com"],
+    // Foto's komen uit Storage, Unsplash, YouTube-thumbnails, … — beelden kunnen geen code draaien.
+    "img-src": ["'self'", "data:", "blob:", "https:"],
+    "media-src": ["'self'", "blob:", "https:"],
+    "connect-src": [
+      "'self'",
+      "https://*.googleapis.com",
+      "https://*.cloudfunctions.net",
+      "https://*.run.app",
+      "https://*.firebaseio.com",
+      "wss://*.firebaseio.com",
+      "https://*.firebaseapp.com",
+      "https://www.google.com",
+      // De engine-versie in /beheer komt rechtstreeks van npm (CoreVersion).
+      "https://registry.npmjs.org",
+      "https://vercel.live",
+      "wss://ws-us3.pusher.com",
+      ...dev ? ["ws:", "http://localhost:*", "http://127.0.0.1:*"] : []
+    ],
+    // Embeds (video, kaart, agenda, boekingswidgets) zijn iframes naar willekeurige diensten;
+    // die draaien in hun eigen origin. Ook de Firebase-login-handler en reCAPTCHA.
+    "frame-src": ["'self'", "https:"],
+    "worker-src": ["'self'", "blob:"],
+    // Het PDF-blok gebruikt bewust <object> (fallback met open-knop op mobiel). Browsers hebben geen
+    // plug-ins meer behalve de PDF-viewer, dus https: kost hier weinig; 'none' brak het PDF-blok.
+    "object-src": ["'self'", "https:"],
+    "base-uri": ["'self'"],
+    "form-action": ["'self'", "https:"],
+    // Niemand anders mag de site in een frame zetten (clickjacking).
+    "frame-ancestors": ["'self'"]
+  };
+}
+function bouwCsp(opties = {}) {
+  const dev = opties.dev ?? process.env.NODE_ENV !== "production";
+  const d = basis(dev);
+  for (const [k, bronnen] of Object.entries(opties.extra ?? {})) {
+    d[k] = [.../* @__PURE__ */ new Set([...d[k] ?? [], ...bronnen])];
+  }
+  const delen = Object.entries(d).map(([k, v]) => `${k} ${v.join(" ")}`);
+  if (opties.afdwingen && !dev) delen.push("upgrade-insecure-requests");
+  const pad = opties.rapportPad === void 0 ? "/api/csp-rapport" : opties.rapportPad;
+  if (pad) {
+    delen.push(`report-uri ${pad}`);
+    delen.push("report-to csp");
+  }
+  return delen.join("; ");
+}
+function xicmsSecurityHeaders(opties = {}) {
+  const pad = opties.rapportPad === void 0 ? "/api/csp-rapport" : opties.rapportPad;
+  const headers = [
+    { key: opties.afdwingen ? "Content-Security-Policy" : "Content-Security-Policy-Report-Only", value: bouwCsp(opties) },
+    // Geen MIME-gokken: een geüpload "plaatje" kan zo nooit als script draaien.
+    { key: "X-Content-Type-Options", value: "nosniff" },
+    // Externe sites zien alleen het domein, niet het volledige pad (privacy van bezoekers).
+    { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
+    // Een klantsite heeft geen camera, microfoon of betaal-API nodig. Locatie: alleen de site zelf.
+    { key: "Permissions-Policy", value: "camera=(), microphone=(), payment=(), usb=(), geolocation=(self)" }
+  ];
+  if (pad) headers.push({ key: "Reporting-Endpoints", value: `csp="${pad}"` });
+  return [{ source: "/:path*", headers }];
+}
+export {
+  bouwCsp,
+  xicmsSecurityHeaders
+};
+//# sourceMappingURL=securityHeaders.js.map

package/dist/next/securityHeaders.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":["../../src/next/securityHeaders.ts"],"sourcesContent":["/**\n * Beveiligingsheaders met een Content Security Policy (8.7) — naar het idee van Astro's\n * `security.csp`. Een CSP vertelt de browser welke bronnen een pagina mag laden. Komt er toch een\n * vreemd script binnen (via geplakte HTML, een gehackte embed, een kwaadwillende extensie die de\n * DOM aanpast), dan weigert de browser het.\n *\n * Standaard ALLEEN RAPPORTEREN (`Content-Security-Policy-Report-Only`): de browser blokkeert niets,\n * maar meldt elke overtreding aan `/api/csp-rapport` (zie `cspRapportPOST`), zodat die in de\n * Vercel-logs staan. Laat dat een week lopen, vul `extra` aan met wat legitiem bleek, en zet dan\n * `afdwingen: true`.\n *\n * Waarom 'unsafe-inline' voor scripts: Next zet inline scripts in statisch gegenereerde pagina's.\n * Nonces vragen een dynamische render per verzoek, en dat kost ons de SSG-snelheid. De rest van de\n * policy (geen vreemde hosts, geen object/embed, geen framing door anderen, base-uri vast) blijft\n * waardevol; Astro maakt dezelfde afweging niet omdat het de scripts kan hashen.\n *\n * Gebruik in next.config.ts:\n *\n *   async headers() { return [...xicmsAuthHeaders(), ...xicmsSecurityHeaders()]; }\n */\nimport type { XicmsHeader } from \"./authRewrites\";\n\nexport type CspDirective =\n  | \"default-src\"\n  | \"script-src\"\n  | \"style-src\"\n  | \"font-src\"\n  | \"img-src\"\n  | \"media-src\"\n  | \"connect-src\"\n  | \"frame-src\"\n  | \"worker-src\"\n  | \"object-src\"\n  | \"base-uri\"\n  | \"form-action\"\n  | \"frame-ancestors\";\n\nexport interface CspOpties {\n  /** true = blokkeren; standaard alleen rapporteren. */\n  afdwingen?: boolean;\n  /** Waar de browser overtredingen meldt; `false` = nergens (alleen de console). */\n  rapportPad?: string | false;\n  /** Extra bronnen per directive, bv. `{ \"script-src\": [\"https://plausible.io\"] }`. */\n  extra?: Partial<Record<CspDirective, string[]>>;\n  /** Ontwikkelmodus (HMR, eval, emulators). Standaard: NODE_ENV !== \"production\". */\n  dev?: boolean;\n}\n\n/** De basis: wat XiCMS zelf nodig heeft (Firebase, App Check, Google Fonts, embeds). */\nfunction basis(dev: boolean): Record<CspDirective, string[]> {\n  return {\n    \"default-src\": [\"'self'\"],\n    // reCAPTCHA v3 = App Check; apis.google.com laadt Firebase Auth voor de login-popup.\n    // vercel.live = de commentaar-toolbar die Vercel op preview-deploys invoegt.\n    \"script-src\": [\"'self'\", \"'unsafe-inline'\", \"https://www.google.com/recaptcha/\", \"https://www.gstatic.com/recaptcha/\", \"https://apis.google.com\", \"https://vercel.live\", ...(dev ? [\"'unsafe-eval'\"] : [])],\n    // Astryx en Next zetten inline stijlen; Google Fonts als de site niet zelf host.\n    \"style-src\": [\"'self'\", \"'unsafe-inline'\", \"https://fonts.googleapis.com\", \"https://vercel.live\"],\n    \"font-src\": [\"'self'\", \"data:\", \"https://fonts.gstatic.com\", \"https://vercel.live\", \"https://assets.vercel.com\"],\n    // Foto's komen uit Storage, Unsplash, YouTube-thumbnails, … — beelden kunnen geen code draaien.\n    \"img-src\": [\"'self'\", \"data:\", \"blob:\", \"https:\"],\n    \"media-src\": [\"'self'\", \"blob:\", \"https:\"],\n    \"connect-src\": [\n      \"'self'\",\n      \"https://*.googleapis.com\",\n      \"https://*.cloudfunctions.net\",\n      \"https://*.run.app\",\n      \"https://*.firebaseio.com\",\n      \"wss://*.firebaseio.com\",\n      \"https://*.firebaseapp.com\",\n      \"https://www.google.com\",\n      // De engine-versie in /beheer komt rechtstreeks van npm (CoreVersion).\n      \"https://registry.npmjs.org\",\n      \"https://vercel.live\",\n      \"wss://ws-us3.pusher.com\",\n      ...(dev ? [\"ws:\", \"http://localhost:*\", \"http://127.0.0.1:*\"] : []),\n    ],\n    // Embeds (video, kaart, agenda, boekingswidgets) zijn iframes naar willekeurige diensten;\n    // die draaien in hun eigen origin. Ook de Firebase-login-handler en reCAPTCHA.\n    \"frame-src\": [\"'self'\", \"https:\"],\n    \"worker-src\": [\"'self'\", \"blob:\"],\n    // Het PDF-blok gebruikt bewust <object> (fallback met open-knop op mobiel). Browsers hebben geen\n    // plug-ins meer behalve de PDF-viewer, dus https: kost hier weinig; 'none' brak het PDF-blok.\n    \"object-src\": [\"'self'\", \"https:\"],\n    \"base-uri\": [\"'self'\"],\n    \"form-action\": [\"'self'\", \"https:\"],\n    // Niemand anders mag de site in een frame zetten (clickjacking).\n    \"frame-ancestors\": [\"'self'\"],\n  };\n}\n\n/** Bouwt de policy-string. Puur, voor tests en voor wie hem elders nodig heeft. */\nexport function bouwCsp(opties: CspOpties = {}): string {\n  const dev = opties.dev ?? process.env.NODE_ENV !== \"production\";\n  const d = basis(dev);\n  for (const [k, bronnen] of Object.entries(opties.extra ?? {}) as [CspDirective, string[]][]) {\n    d[k] = [...new Set([...(d[k] ?? []), ...bronnen])];\n  }\n  const delen = Object.entries(d).map(([k, v]) => `${k} ${v.join(\" \")}`);\n  // In report-only negeert de browser deze (met een waarschuwing), dus alleen bij afdwingen.\n  if (opties.afdwingen && !dev) delen.push(\"upgrade-insecure-requests\");\n  const pad = opties.rapportPad === undefined ? \"/api/csp-rapport\" : opties.rapportPad;\n  if (pad) {\n    delen.push(`report-uri ${pad}`);\n    delen.push(\"report-to csp\");\n  }\n  return delen.join(\"; \");\n}\n\n/** Headers voor de hele site: CSP (rapport of afdwingen) plus een paar goedkope basisheaders. */\nexport function xicmsSecurityHeaders(opties: CspOpties = {}): XicmsHeader[] {\n  const pad = opties.rapportPad === undefined ? \"/api/csp-rapport\" : opties.rapportPad;\n  const headers = [\n    { key: opties.afdwingen ? \"Content-Security-Policy\" : \"Content-Security-Policy-Report-Only\", value: bouwCsp(opties) },\n    // Geen MIME-gokken: een geüpload \"plaatje\" kan zo nooit als script draaien.\n    { key: \"X-Content-Type-Options\", value: \"nosniff\" },\n    // Externe sites zien alleen het domein, niet het volledige pad (privacy van bezoekers).\n    { key: \"Referrer-Policy\", value: \"strict-origin-when-cross-origin\" },\n    // Een klantsite heeft geen camera, microfoon of betaal-API nodig. Locatie: alleen de site zelf.\n    { key: \"Permissions-Policy\", value: \"camera=(), microphone=(), payment=(), usb=(), geolocation=(self)\" },\n  ];\n  if (pad) headers.push({ key: \"Reporting-Endpoints\", value: `csp=\"${pad}\"` });\n  return [{ source: \"/:path*\", headers }];\n}\n"],"mappings":"AAiDA,SAAS,MAAM,KAA8C;AAC3D,SAAO;AAAA,IACL,eAAe,CAAC,QAAQ;AAAA;AAAA;AAAA,IAGxB,cAAc,CAAC,UAAU,mBAAmB,qCAAqC,sCAAsC,2BAA2B,uBAAuB,GAAI,MAAM,CAAC,eAAe,IAAI,CAAC,CAAE;AAAA;AAAA,IAE1M,aAAa,CAAC,UAAU,mBAAmB,gCAAgC,qBAAqB;AAAA,IAChG,YAAY,CAAC,UAAU,SAAS,6BAA6B,uBAAuB,2BAA2B;AAAA;AAAA,IAE/G,WAAW,CAAC,UAAU,SAAS,SAAS,QAAQ;AAAA,IAChD,aAAa,CAAC,UAAU,SAAS,QAAQ;AAAA,IACzC,eAAe;AAAA,MACb;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA;AAAA,MAEA;AAAA,MACA;AAAA,MACA;AAAA,MACA,GAAI,MAAM,CAAC,OAAO,sBAAsB,oBAAoB,IAAI,CAAC;AAAA,IACnE;AAAA;AAAA;AAAA,IAGA,aAAa,CAAC,UAAU,QAAQ;AAAA,IAChC,cAAc,CAAC,UAAU,OAAO;AAAA;AAAA;AAAA,IAGhC,cAAc,CAAC,UAAU,QAAQ;AAAA,IACjC,YAAY,CAAC,QAAQ;AAAA,IACrB,eAAe,CAAC,UAAU,QAAQ;AAAA;AAAA,IAElC,mBAAmB,CAAC,QAAQ;AAAA,EAC9B;AACF;AAGO,SAAS,QAAQ,SAAoB,CAAC,GAAW;AACtD,QAAM,MAAM,OAAO,OAAO,QAAQ,IAAI,aAAa;AACnD,QAAM,IAAI,MAAM,GAAG;AACnB,aAAW,CAAC,GAAG,OAAO,KAAK,OAAO,QAAQ,OAAO,SAAS,CAAC,CAAC,GAAiC;AAC3F,MAAE,CAAC,IAAI,CAAC,GAAG,oBAAI,IAAI,CAAC,GAAI,EAAE,CAAC,KAAK,CAAC,GAAI,GAAG,OAAO,CAAC,CAAC;AAAA,EACnD;AACA,QAAM,QAAQ,OAAO,QAAQ,CAAC,EAAE,IAAI,CAAC,CAAC,GAAG,CAAC,MAAM,GAAG,CAAC,IAAI,EAAE,KAAK,GAAG,CAAC,EAAE;AAErE,MAAI,OAAO,aAAa,CAAC,IAAK,OAAM,KAAK,2BAA2B;AACpE,QAAM,MAAM,OAAO,eAAe,SAAY,qBAAqB,OAAO;AAC1E,MAAI,KAAK;AACP,UAAM,KAAK,cAAc,GAAG,EAAE;AAC9B,UAAM,KAAK,eAAe;AAAA,EAC5B;AACA,SAAO,MAAM,KAAK,IAAI;AACxB;AAGO,SAAS,qBAAqB,SAAoB,CAAC,GAAkB;AAC1E,QAAM,MAAM,OAAO,eAAe,SAAY,qBAAqB,OAAO;AAC1E,QAAM,UAAU;AAAA,IACd,EAAE,KAAK,OAAO,YAAY,4BAA4B,uCAAuC,OAAO,QAAQ,MAAM,EAAE;AAAA;AAAA,IAEpH,EAAE,KAAK,0BAA0B,OAAO,UAAU;AAAA;AAAA,IAElD,EAAE,KAAK,mBAAmB,OAAO,kCAAkC;AAAA;AAAA,IAEnE,EAAE,KAAK,sBAAsB,OAAO,mEAAmE;AAAA,EACzG;AACA,MAAI,IAAK,SAAQ,KAAK,EAAE,KAAK,uBAAuB,OAAO,QAAQ,GAAG,IAAI,CAAC;AAC3E,SAAO,CAAC,EAAE,QAAQ,WAAW,QAAQ,CAAC;AACxC;","names":[]}

package/dist/patterns/builtins.d.ts

@@ -27,5 +27,12 @@ export declare const pageLanding: Pattern;
 export declare const pageServices: Pattern;
 export declare const pageAbout: Pattern;
 export declare const pageContact: Pattern;
+export declare const pageTarieven: Pattern;
+export declare const pageMenukaart: Pattern;
+export declare const pageReserveren: Pattern;
+export declare const pageTeam: Pattern;
+export declare const pageVerhuur: Pattern;
+export declare const pagePortfolio: Pattern;
+export declare const pageAgenda: Pattern;
 /** Alle ingebouwde patronen. */
 export declare const builtinPatterns: Pattern[];

package/dist/patterns/builtins.js

@@ -353,14 +353,135 @@ const pageContact = definePattern({
     {
       _type: "columns",
       _style: { paddingY: "md" },
+      // 8.14: contact en tijden komen uit het bedrijfsprofiel (Instellingen → Bedrijf): één keer
+      // invullen, en deze pagina klopt vanzelf mee.
       columns: [
-        { blocks: [{ _type: "richText", html: "<h2>Neem contact op</h2><p>Adres, telefoonnummer en e-mailadres \u2014 of loop gerust binnen.</p>" }] },
-        { blocks: [{ _type: "openingHours", heading: "Openingstijden", rows: [{ day: "Ma\u2013Vr", hours: "09:00\u201317:00" }, { day: "Za", hours: "10:00\u201316:00" }, { day: "Zo", hours: "Gesloten" }] }] }
+        { blocks: [{ _type: "contact", heading: "Neem contact op" }] },
+        { blocks: [{ _type: "openingHours", heading: "Openingstijden", rows: [], showStatus: true }] }
       ]
     },
     ...ctaBanner.blocks
   ]
 });
+const pageTarieven = definePattern({
+  id: "page-tarieven",
+  label: "Tarieven / prijslijst",
+  category: "Pagina's",
+  description: "Prijslijst met behandelingen of diensten, toelichting en een knop om te boeken.",
+  blocks: [
+    { _type: "hero", title: "Tarieven", subtitle: "Duidelijke prijzen, zonder verrassingen.", align: "center", vAlign: "center", minHeight: "sm" },
+    {
+      _type: "priceList",
+      variant: "kolommen",
+      sections: [
+        { title: "Behandelingen", items: [{ name: "Dienst \xE9\xE9n", description: "Korte omschrijving.", price: "\u20AC 25", duration: "30 min" }, { name: "Dienst twee", description: "Korte omschrijving.", price: "\u20AC 40", duration: "45 min" }] },
+        { title: "Extra's", items: [{ name: "Dienst drie", description: "Korte omschrijving.", price: "\u20AC 10", duration: "15 min" }] }
+      ],
+      footnote: "Prijzen zijn inclusief btw."
+    },
+    ...ctaBanner.blocks
+  ]
+});
+const pageMenukaart = definePattern({
+  id: "page-menukaart",
+  label: "Menukaart",
+  category: "Pagina's",
+  description: "Menukaart met voorgerechten, hoofdgerechten en desserts, plus openingstijden.",
+  blocks: [
+    { _type: "hero", title: "Onze kaart", subtitle: "Seizoensgebonden en met zorg bereid.", align: "center", vAlign: "center", minHeight: "sm" },
+    {
+      _type: "priceList",
+      variant: "menu",
+      sections: [
+        { title: "Voorgerechten", items: [{ name: "Dienst \xE9\xE9n", description: "Korte omschrijving.", price: "\u20AC 9" }] },
+        { title: "Hoofdgerechten", items: [{ name: "Dienst twee", description: "Korte omschrijving.", price: "\u20AC 22", tags: "vegetarisch" }] },
+        { title: "Desserts", items: [{ name: "Dienst drie", description: "Korte omschrijving.", price: "\u20AC 8" }] }
+      ],
+      footnote: "Allergie\xEBn of dieetwensen? Laat het ons weten.",
+      jsonLd: true
+    },
+    { _type: "openingHours", heading: "Openingstijden", rows: [], showStatus: true, _style: { width: "narrow" } }
+  ]
+});
+const pageReserveren = definePattern({
+  id: "page-reserveren",
+  label: "Reserveren / afspraak maken",
+  category: "Pagina's",
+  description: "Online afspraak maken of reserveren, met contact en openingstijden ernaast.",
+  blocks: [
+    { _type: "hero", title: "Afspraak maken", subtitle: "Kies zelf een moment dat jou uitkomt.", align: "center", vAlign: "center", minHeight: "sm" },
+    { _type: "booking", heading: "Online plannen", provider: "custom", embedUrl: "" },
+    {
+      _type: "columns",
+      columns: [
+        { blocks: [{ _type: "contact", heading: "Liever bellen?" }] },
+        { blocks: [{ _type: "openingHours", heading: "Openingstijden", rows: [], showStatus: true }] }
+      ]
+    }
+  ]
+});
+const pageTeam = definePattern({
+  id: "page-team",
+  label: "Ons team",
+  category: "Pagina's",
+  description: "De mensen achter je bedrijf, met een korte inleiding en reviews.",
+  blocks: [
+    { _type: "hero", title: "Ons team", subtitle: "Met wie je te maken krijgt.", align: "center", vAlign: "center", minHeight: "sm" },
+    ...teamSection.blocks,
+    ...testimonialsSection.blocks
+  ]
+});
+const pageVerhuur = definePattern({
+  id: "page-verhuur",
+  label: "Verblijf / accommodatie",
+  category: "Pagina's",
+  description: "Foto's, voorzieningen, prijzen per periode, veelgestelde vragen en boeken.",
+  blocks: [
+    { _type: "hero", title: "Ons verblijf", subtitle: "Rust, ruimte en alles wat je nodig hebt.", align: "center", vAlign: "center", minHeight: "md" },
+    ...gallerySection.blocks,
+    {
+      _type: "cards",
+      heading: "Voorzieningen",
+      columns: 3,
+      items: [
+        { icon: "\u{1F6CF}\uFE0F", title: "Slaapkamers", text: "Korte omschrijving." },
+        { icon: "\u{1F373}", title: "Keuken", text: "Korte omschrijving." },
+        { icon: "\u{1F333}", title: "Tuin", text: "Korte omschrijving." }
+      ]
+    },
+    {
+      _type: "priceList",
+      heading: "Prijzen",
+      variant: "lijst",
+      sections: [{ title: "Per nacht", items: [{ name: "Laagseizoen", price: "\u20AC 00", description: "Minimaal 2 nachten." }, { name: "Hoogseizoen", price: "\u20AC 00", description: "Minimaal 7 nachten." }] }]
+    },
+    { _type: "availability", heading: "Beschikbaarheid", units: [{ label: "Ons verblijf", icalUrl: "" }], months: 4, minNights: 2, requestPath: "/contact" },
+    ...faqSection.blocks
+  ]
+});
+const pagePortfolio = definePattern({
+  id: "page-portfolio",
+  label: "Werk / portfolio",
+  category: "Pagina's",
+  description: "Projecten met filter per categorie, een uitgelichte review en een CTA.",
+  blocks: [
+    { _type: "hero", title: "Ons werk", subtitle: "Een greep uit recente projecten.", align: "center", vAlign: "center", minHeight: "sm" },
+    ...portfolioSection.blocks,
+    ...quoteSection.blocks,
+    ...ctaBanner.blocks
+  ]
+});
+const pageAgenda = definePattern({
+  id: "page-agenda",
+  label: "Agenda",
+  category: "Pagina's",
+  description: "Komende activiteiten met datum en plaats \u2014 ook in Google en toe te voegen aan de agenda.",
+  blocks: [
+    { _type: "hero", title: "Agenda", subtitle: "Wat er binnenkort te doen is.", align: "center", vAlign: "center", minHeight: "sm" },
+    { _type: "agenda", heading: "Komende activiteiten", events: [{ title: "Eerste activiteit", start: "2026-12-01T19:30", location: "Plaats", description: "Korte omschrijving." }] },
+    ...newsletterSection.blocks
+  ]
+});
 const builtinPatterns = [
   heroCentered,
   featuresThree,
@@ -384,7 +505,14 @@ const builtinPatterns = [
   pageLanding,
   pageServices,
   pageAbout,
-  pageContact
+  pageContact,
+  pageTarieven,
+  pageMenukaart,
+  pageReserveren,
+  pageTeam,
+  pageVerhuur,
+  pagePortfolio,
+  pageAgenda
 ];
 export {
   aboutImageText,
@@ -402,9 +530,16 @@ export {
   logosSection,
   newsletterSection,
   pageAbout,
+  pageAgenda,
   pageContact,
   pageLanding,
+  pageMenukaart,
+  pagePortfolio,
+  pageReserveren,
   pageServices,
+  pageTarieven,
+  pageTeam,
+  pageVerhuur,
   portfolioSection,
   pricingThree,
   quoteSection,