@xiwebdesign/xicms-core 7.31.0 → 8.16.0

package/dist/next/envCheck.js

@@ -0,0 +1,106 @@
+const FIREBASE_PUBLIEK = [
+  "NEXT_PUBLIC_FIREBASE_API_KEY",
+  "NEXT_PUBLIC_FIREBASE_PROJECT_ID",
+  "NEXT_PUBLIC_FIREBASE_STORAGE_BUCKET",
+  "NEXT_PUBLIC_FIREBASE_APP_ID"
+];
+const FIREBASE_ADMIN = ["FIREBASE_PROJECT_ID", "FIREBASE_CLIENT_EMAIL", "FIREBASE_PRIVATE_KEY"];
+const LEEG_UITLEG = "staat er wel, maar is leeg. Op Vercel betekent dat meestal dat hij Sensitive is (die komen bij `vercel pull` leeg binnen). Een NEXT_PUBLIC-waarde is publiek: maak hem opnieuw met `vercel env add <NAAM> production --no-sensitive --force`.";
+function controleerSiteEnv(env, opties = {}) {
+  const m = [];
+  const heeft = (k) => typeof env[k] === "string" && env[k].trim() !== "";
+  const leeg = (k) => typeof env[k] === "string" && env[k].trim() === "";
+  const aanwezig = FIREBASE_PUBLIEK.filter(heeft);
+  if (aanwezig.length === 0 && !FIREBASE_PUBLIEK.some(leeg)) {
+    if (!opties.demo) {
+      m.push({
+        naam: "NEXT_PUBLIC_FIREBASE_*",
+        ernst: "fout",
+        tekst: "Geen Firebase-config. Zonder deze waarden werken inloggen, het beheer en formulieren niet. (Een demo-site zonder Firebase: `xicmsEnvCheck({ demo: true })`.)"
+      });
+    }
+  } else {
+    for (const k of FIREBASE_PUBLIEK) {
+      if (leeg(k)) m.push({ naam: k, ernst: "fout", tekst: `${k} ${LEEG_UITLEG}` });
+      else if (!heeft(k)) m.push({ naam: k, ernst: "fout", tekst: `${k} ontbreekt, terwijl de rest van de Firebase-config er w\xE9l is.` });
+    }
+    const sameOrigin = env.NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN === "1";
+    if (leeg("NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN") && !sameOrigin) {
+      m.push({ naam: "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN", ernst: "fout", tekst: `NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN ${LEEG_UITLEG}` });
+    } else if (!heeft("NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN") && !sameOrigin) {
+      m.push({
+        naam: "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN",
+        ernst: "waarschuwing",
+        tekst: "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN ontbreekt en NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN staat niet op 1: inloggen met Google werkt dan niet."
+      });
+    }
+  }
+  for (const k of Object.keys(env)) {
+    if (k.startsWith("NEXT_PUBLIC_") && !k.startsWith("NEXT_PUBLIC_VERCEL_") && !FIREBASE_PUBLIEK.includes(k) && k !== "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN" && leeg(k)) {
+      m.push({ naam: k, ernst: "waarschuwing", tekst: `${k} ${LEEG_UITLEG} (Is leeg hier bedoeld, haal hem dan weg.)` });
+    }
+  }
+  const so = env.NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN;
+  if (so !== void 0 && so !== "" && so !== "1" && so !== "0") {
+    m.push({ naam: "NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN", ernst: "waarschuwing", tekst: `NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN is "${so}"; alleen "1" zet hem aan.` });
+  }
+  const regio = env.NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION;
+  if (heeft("NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION") && !/^[a-z]+-[a-z]+\d$/.test(regio.trim())) {
+    m.push({ naam: "NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION", ernst: "waarschuwing", tekst: `NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION "${regio}" lijkt geen Google-regio (zoals europe-west1).` });
+  }
+  const admin = FIREBASE_ADMIN.filter(heeft);
+  if (admin.length > 0 && admin.length < FIREBASE_ADMIN.length) {
+    const mist = FIREBASE_ADMIN.filter((k) => !heeft(k));
+    m.push({ naam: mist.join(", "), ernst: "fout", tekst: `Firebase Admin is half ingesteld: ${mist.join(" en ")} ontbreekt. De server kan dan geen content lezen.` });
+  } else if (admin.length === 0 && !opties.demo && aanwezig.length > 0) {
+    m.push({
+      naam: "FIREBASE_*",
+      ernst: "waarschuwing",
+      tekst: "Geen Firebase Admin-sleutels (FIREBASE_PROJECT_ID/CLIENT_EMAIL/PRIVATE_KEY): de server leest dan alleen de gebundelde content, niet de live database."
+    });
+  }
+  if (heeft("FIREBASE_PRIVATE_KEY") && !env.FIREBASE_PRIVATE_KEY.includes("PRIVATE KEY")) {
+    m.push({ naam: "FIREBASE_PRIVATE_KEY", ernst: "fout", tekst: "FIREBASE_PRIVATE_KEY heeft niet de vorm van een sleutel (geen 'BEGIN PRIVATE KEY'). Plak de hele waarde uit het service-account-JSON, met de \\n's." });
+  }
+  if (heeft("FIREBASE_PROJECT_ID") && heeft("NEXT_PUBLIC_FIREBASE_PROJECT_ID") && env.FIREBASE_PROJECT_ID.trim() !== env.NEXT_PUBLIC_FIREBASE_PROJECT_ID.trim()) {
+    m.push({
+      naam: "FIREBASE_PROJECT_ID",
+      ernst: "fout",
+      tekst: `FIREBASE_PROJECT_ID (${env.FIREBASE_PROJECT_ID}) is een ander project dan NEXT_PUBLIC_FIREBASE_PROJECT_ID (${env.NEXT_PUBLIC_FIREBASE_PROJECT_ID}): de server en de browser zouden verschillende databases lezen.`
+    });
+  }
+  if (admin.length === FIREBASE_ADMIN.length && !heeft("XICMS_REVALIDATE_SECRET")) {
+    m.push({
+      naam: "XICMS_REVALIDATE_SECRET",
+      ernst: "waarschuwing",
+      tekst: "XICMS_REVALIDATE_SECRET ontbreekt: gepubliceerde wijzigingen verschijnen pas na het ISR-vangnet (tot een uur), niet binnen seconden."
+    });
+  }
+  return m;
+}
+function envIsStrikt(env) {
+  return env.XICMS_ENV_STRIKT === "1" || env.VERCEL_ENV === "production" && env.XICMS_ENV_STRIKT !== "0";
+}
+function xicmsEnvCheck(opties = {}) {
+  const env = process.env;
+  const meldingen = controleerSiteEnv(env, opties);
+  if (meldingen.length === 0) return meldingen;
+  const fouten = meldingen.filter((x) => x.ernst === "fout");
+  const regels = meldingen.map((x) => `  ${x.ernst === "fout" ? "\u2717" : "!"} ${x.tekst}`).join("\n");
+  const kop = `[xicms] Controle van de env-variabelen: ${fouten.length} fout(en), ${meldingen.length - fouten.length} waarschuwing(en)`;
+  if (fouten.length > 0 && envIsStrikt(env)) {
+    throw new Error(`${kop}
+${regels}
+
+De build is gestopt zodat er geen kapotte site live gaat. Bewust negeren: XICMS_ENV_STRIKT=0.`);
+  }
+  console.warn(`${kop}
+${regels}`);
+  return meldingen;
+}
+export {
+  controleerSiteEnv,
+  envIsStrikt,
+  xicmsEnvCheck
+};
+//# sourceMappingURL=envCheck.js.map

package/dist/next/envCheck.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":["../../src/next/envCheck.ts"],"sourcesContent":["/**\n * Env-controle tijdens de BUILD (8.7) — naar het idee van Astro's `astro:env`-schema.\n *\n * Er bestond al een controle bij serverstart (`validateEnv` in `instrumentation.ts`), maar die\n * komt te laat voor `NEXT_PUBLIC_*`: die waarden worden tijdens `next build` letterlijk in de\n * JavaScript-bundel gezet. Een lege waarde zit er dan al in, en de site start gewoon — alleen\n * werkt inloggen of het beheer niet. Precies dat gebeurde in september 2026: `vercel pull` leverde\n * Sensitive-variabelen leeg af, en dat viel pas op in de live bundel.\n *\n * Gebruik bovenin `next.config.ts`:\n *\n *   import { xicmsEnvCheck } from \"@xiwebdesign/xicms-core/next\";\n *   xicmsEnvCheck();\n *\n * Een productie-build op Vercel (`VERCEL_ENV=production`) of met `XICMS_ENV_STRIKT=1` stopt bij een\n * fout; overal elders (lokaal, CI, previews) komen fouten en waarschuwingen alleen in de log.\n * Dit bestand draait in Node tijdens de build en mag niets uit de React-bundel importeren.\n */\n\nexport type EnvErnst = \"fout\" | \"waarschuwing\";\n\nexport interface EnvMelding {\n  naam: string;\n  ernst: EnvErnst;\n  tekst: string;\n}\n\ntype Env = Record<string, string | undefined>;\n\n/** De publieke Firebase-config die de browser nodig heeft (gaat de bundel in). */\nconst FIREBASE_PUBLIEK = [\n  \"NEXT_PUBLIC_FIREBASE_API_KEY\",\n  \"NEXT_PUBLIC_FIREBASE_PROJECT_ID\",\n  \"NEXT_PUBLIC_FIREBASE_STORAGE_BUCKET\",\n  \"NEXT_PUBLIC_FIREBASE_APP_ID\",\n] as const;\n\n/** Server-geheimen voor het lezen van content (Firebase Admin). Alles of niets. */\nconst FIREBASE_ADMIN = [\"FIREBASE_PROJECT_ID\", \"FIREBASE_CLIENT_EMAIL\", \"FIREBASE_PRIVATE_KEY\"] as const;\n\nconst LEEG_UITLEG =\n  \"staat er wel, maar is leeg. Op Vercel betekent dat meestal dat hij Sensitive is (die komen bij \" +\n  \"`vercel pull` leeg binnen). Een NEXT_PUBLIC-waarde is publiek: maak hem opnieuw met \" +\n  \"`vercel env add <NAAM> production --no-sensitive --force`.\";\n\n/**\n * Puur en testbaar: welke problemen heeft deze env? `demo` = een site zonder eigen Firebase\n * (de demo-modus werkt lokaal), dan is ontbrekende Firebase-config geen fout.\n */\nexport function controleerSiteEnv(env: Env, opties: { demo?: boolean } = {}): EnvMelding[] {\n  const m: EnvMelding[] = [];\n  const heeft = (k: string) => typeof env[k] === \"string\" && env[k]!.trim() !== \"\";\n  const leeg = (k: string) => typeof env[k] === \"string\" && env[k]!.trim() === \"\";\n\n  // ── Publieke Firebase-config ────────────────────────────────────────────\n  const aanwezig = FIREBASE_PUBLIEK.filter(heeft);\n  if (aanwezig.length === 0 && !FIREBASE_PUBLIEK.some(leeg)) {\n    if (!opties.demo) {\n      m.push({\n        naam: \"NEXT_PUBLIC_FIREBASE_*\",\n        ernst: \"fout\",\n        tekst: \"Geen Firebase-config. Zonder deze waarden werken inloggen, het beheer en formulieren niet. (Een demo-site zonder Firebase: `xicmsEnvCheck({ demo: true })`.)\",\n      });\n    }\n  } else {\n    for (const k of FIREBASE_PUBLIEK) {\n      if (leeg(k)) m.push({ naam: k, ernst: \"fout\", tekst: `${k} ${LEEG_UITLEG}` });\n      else if (!heeft(k)) m.push({ naam: k, ernst: \"fout\", tekst: `${k} ontbreekt, terwijl de rest van de Firebase-config er wél is.` });\n    }\n    const sameOrigin = env.NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN === \"1\";\n    if (leeg(\"NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN\") && !sameOrigin) {\n      m.push({ naam: \"NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN\", ernst: \"fout\", tekst: `NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN ${LEEG_UITLEG}` });\n    } else if (!heeft(\"NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN\") && !sameOrigin) {\n      m.push({\n        naam: \"NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN\",\n        ernst: \"waarschuwing\",\n        tekst: \"NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN ontbreekt en NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN staat niet op 1: inloggen met Google werkt dan niet.\",\n      });\n    }\n  }\n  for (const k of Object.keys(env)) {\n    // Andere publieke vars die leeg zijn (App Check, regio, …): ook die gaan zo de bundel in.\n    // NEXT_PUBLIC_VERCEL_* zet Vercel zelf, en sommige zijn bewust leeg (geen PR → geen PR-id).\n    if (k.startsWith(\"NEXT_PUBLIC_\") && !k.startsWith(\"NEXT_PUBLIC_VERCEL_\") && !(FIREBASE_PUBLIEK as readonly string[]).includes(k) && k !== \"NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN\" && leeg(k)) {\n      m.push({ naam: k, ernst: \"waarschuwing\", tekst: `${k} ${LEEG_UITLEG} (Is leeg hier bedoeld, haal hem dan weg.)` });\n    }\n  }\n  const so = env.NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN;\n  if (so !== undefined && so !== \"\" && so !== \"1\" && so !== \"0\") {\n    m.push({ naam: \"NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN\", ernst: \"waarschuwing\", tekst: `NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN is \"${so}\"; alleen \"1\" zet hem aan.` });\n  }\n  const regio = env.NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION;\n  if (heeft(\"NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION\") && !/^[a-z]+-[a-z]+\\d$/.test(regio!.trim())) {\n    m.push({ naam: \"NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION\", ernst: \"waarschuwing\", tekst: `NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION \"${regio}\" lijkt geen Google-regio (zoals europe-west1).` });\n  }\n\n  // ── Firebase Admin (server) ─────────────────────────────────────────────\n  const admin = FIREBASE_ADMIN.filter(heeft);\n  if (admin.length > 0 && admin.length < FIREBASE_ADMIN.length) {\n    const mist = FIREBASE_ADMIN.filter((k) => !heeft(k));\n    m.push({ naam: mist.join(\", \"), ernst: \"fout\", tekst: `Firebase Admin is half ingesteld: ${mist.join(\" en \")} ontbreekt. De server kan dan geen content lezen.` });\n  } else if (admin.length === 0 && !opties.demo && aanwezig.length > 0) {\n    m.push({\n      naam: \"FIREBASE_*\",\n      ernst: \"waarschuwing\",\n      tekst: \"Geen Firebase Admin-sleutels (FIREBASE_PROJECT_ID/CLIENT_EMAIL/PRIVATE_KEY): de server leest dan alleen de gebundelde content, niet de live database.\",\n    });\n  }\n  if (heeft(\"FIREBASE_PRIVATE_KEY\") && !env.FIREBASE_PRIVATE_KEY!.includes(\"PRIVATE KEY\")) {\n    m.push({ naam: \"FIREBASE_PRIVATE_KEY\", ernst: \"fout\", tekst: \"FIREBASE_PRIVATE_KEY heeft niet de vorm van een sleutel (geen 'BEGIN PRIVATE KEY'). Plak de hele waarde uit het service-account-JSON, met de \\\\n's.\" });\n  }\n  if (heeft(\"FIREBASE_PROJECT_ID\") && heeft(\"NEXT_PUBLIC_FIREBASE_PROJECT_ID\") && env.FIREBASE_PROJECT_ID!.trim() !== env.NEXT_PUBLIC_FIREBASE_PROJECT_ID!.trim()) {\n    m.push({\n      naam: \"FIREBASE_PROJECT_ID\",\n      ernst: \"fout\",\n      tekst: `FIREBASE_PROJECT_ID (${env.FIREBASE_PROJECT_ID}) is een ander project dan NEXT_PUBLIC_FIREBASE_PROJECT_ID (${env.NEXT_PUBLIC_FIREBASE_PROJECT_ID}): de server en de browser zouden verschillende databases lezen.`,\n    });\n  }\n\n  // ── Live zonder rebuild ─────────────────────────────────────────────────\n  if (admin.length === FIREBASE_ADMIN.length && !heeft(\"XICMS_REVALIDATE_SECRET\")) {\n    m.push({\n      naam: \"XICMS_REVALIDATE_SECRET\",\n      ernst: \"waarschuwing\",\n      tekst: \"XICMS_REVALIDATE_SECRET ontbreekt: gepubliceerde wijzigingen verschijnen pas na het ISR-vangnet (tot een uur), niet binnen seconden.\",\n    });\n  }\n  return m;\n}\n\n/** Moet een fout de build stoppen? Alleen bij een productie-build, of als je het expliciet vraagt. */\nexport function envIsStrikt(env: Env): boolean {\n  return env.XICMS_ENV_STRIKT === \"1\" || (env.VERCEL_ENV === \"production\" && env.XICMS_ENV_STRIKT !== \"0\");\n}\n\n/**\n * Roep aan bovenin `next.config.ts`. Schrijft meldingen naar de log en gooit bij een fout als de\n * build strikt is (zie `envIsStrikt`).\n */\nexport function xicmsEnvCheck(opties: { demo?: boolean } = {}): EnvMelding[] {\n  const env = process.env as Env;\n  const meldingen = controleerSiteEnv(env, opties);\n  if (meldingen.length === 0) return meldingen;\n  const fouten = meldingen.filter((x) => x.ernst === \"fout\");\n  const regels = meldingen.map((x) => `  ${x.ernst === \"fout\" ? \"✗\" : \"!\"} ${x.tekst}`).join(\"\\n\");\n  const kop = `[xicms] Controle van de env-variabelen: ${fouten.length} fout(en), ${meldingen.length - fouten.length} waarschuwing(en)`;\n  if (fouten.length > 0 && envIsStrikt(env)) {\n    throw new Error(`${kop}\\n${regels}\\n\\nDe build is gestopt zodat er geen kapotte site live gaat. Bewust negeren: XICMS_ENV_STRIKT=0.`);\n  }\n  console.warn(`${kop}\\n${regels}`);\n  return meldingen;\n}\n"],"mappings":"AA8BA,MAAM,mBAAmB;AAAA,EACvB;AAAA,EACA;AAAA,EACA;AAAA,EACA;AACF;AAGA,MAAM,iBAAiB,CAAC,uBAAuB,yBAAyB,sBAAsB;AAE9F,MAAM,cACJ;AAQK,SAAS,kBAAkB,KAAU,SAA6B,CAAC,GAAiB;AACzF,QAAM,IAAkB,CAAC;AACzB,QAAM,QAAQ,CAAC,MAAc,OAAO,IAAI,CAAC,MAAM,YAAY,IAAI,CAAC,EAAG,KAAK,MAAM;AAC9E,QAAM,OAAO,CAAC,MAAc,OAAO,IAAI,CAAC,MAAM,YAAY,IAAI,CAAC,EAAG,KAAK,MAAM;AAG7E,QAAM,WAAW,iBAAiB,OAAO,KAAK;AAC9C,MAAI,SAAS,WAAW,KAAK,CAAC,iBAAiB,KAAK,IAAI,GAAG;AACzD,QAAI,CAAC,OAAO,MAAM;AAChB,QAAE,KAAK;AAAA,QACL,MAAM;AAAA,QACN,OAAO;AAAA,QACP,OAAO;AAAA,MACT,CAAC;AAAA,IACH;AAAA,EACF,OAAO;AACL,eAAW,KAAK,kBAAkB;AAChC,UAAI,KAAK,CAAC,EAAG,GAAE,KAAK,EAAE,MAAM,GAAG,OAAO,QAAQ,OAAO,GAAG,CAAC,IAAI,WAAW,GAAG,CAAC;AAAA,eACnE,CAAC,MAAM,CAAC,EAAG,GAAE,KAAK,EAAE,MAAM,GAAG,OAAO,QAAQ,OAAO,GAAG,CAAC,mEAAgE,CAAC;AAAA,IACnI;AACA,UAAM,aAAa,IAAI,0CAA0C;AACjE,QAAI,KAAK,kCAAkC,KAAK,CAAC,YAAY;AAC3D,QAAE,KAAK,EAAE,MAAM,oCAAoC,OAAO,QAAQ,OAAO,oCAAoC,WAAW,GAAG,CAAC;AAAA,IAC9H,WAAW,CAAC,MAAM,kCAAkC,KAAK,CAAC,YAAY;AACpE,QAAE,KAAK;AAAA,QACL,MAAM;AAAA,QACN,OAAO;AAAA,QACP,OAAO;AAAA,MACT,CAAC;AAAA,IACH;AAAA,EACF;AACA,aAAW,KAAK,OAAO,KAAK,GAAG,GAAG;AAGhC,QAAI,EAAE,WAAW,cAAc,KAAK,CAAC,EAAE,WAAW,qBAAqB,KAAK,CAAE,iBAAuC,SAAS,CAAC,KAAK,MAAM,sCAAsC,KAAK,CAAC,GAAG;AACvL,QAAE,KAAK,EAAE,MAAM,GAAG,OAAO,gBAAgB,OAAO,GAAG,CAAC,IAAI,WAAW,6CAA6C,CAAC;AAAA,IACnH;AAAA,EACF;AACA,QAAM,KAAK,IAAI;AACf,MAAI,OAAO,UAAa,OAAO,MAAM,OAAO,OAAO,OAAO,KAAK;AAC7D,MAAE,KAAK,EAAE,MAAM,yCAAyC,OAAO,gBAAgB,OAAO,6CAA6C,EAAE,6BAA6B,CAAC;AAAA,EACrK;AACA,QAAM,QAAQ,IAAI;AAClB,MAAI,MAAM,uCAAuC,KAAK,CAAC,oBAAoB,KAAK,MAAO,KAAK,CAAC,GAAG;AAC9F,MAAE,KAAK,EAAE,MAAM,yCAAyC,OAAO,gBAAgB,OAAO,0CAA0C,KAAK,kDAAkD,CAAC;AAAA,EAC1L;AAGA,QAAM,QAAQ,eAAe,OAAO,KAAK;AACzC,MAAI,MAAM,SAAS,KAAK,MAAM,SAAS,eAAe,QAAQ;AAC5D,UAAM,OAAO,eAAe,OAAO,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC;AACnD,MAAE,KAAK,EAAE,MAAM,KAAK,KAAK,IAAI,GAAG,OAAO,QAAQ,OAAO,qCAAqC,KAAK,KAAK,MAAM,CAAC,oDAAoD,CAAC;AAAA,EACnK,WAAW,MAAM,WAAW,KAAK,CAAC,OAAO,QAAQ,SAAS,SAAS,GAAG;AACpE,MAAE,KAAK;AAAA,MACL,MAAM;AAAA,MACN,OAAO;AAAA,MACP,OAAO;AAAA,IACT,CAAC;AAAA,EACH;AACA,MAAI,MAAM,sBAAsB,KAAK,CAAC,IAAI,qBAAsB,SAAS,aAAa,GAAG;AACvF,MAAE,KAAK,EAAE,MAAM,wBAAwB,OAAO,QAAQ,OAAO,sJAAsJ,CAAC;AAAA,EACtN;AACA,MAAI,MAAM,qBAAqB,KAAK,MAAM,iCAAiC,KAAK,IAAI,oBAAqB,KAAK,MAAM,IAAI,gCAAiC,KAAK,GAAG;AAC/J,MAAE,KAAK;AAAA,MACL,MAAM;AAAA,MACN,OAAO;AAAA,MACP,OAAO,wBAAwB,IAAI,mBAAmB,+DAA+D,IAAI,+BAA+B;AAAA,IAC1J,CAAC;AAAA,EACH;AAGA,MAAI,MAAM,WAAW,eAAe,UAAU,CAAC,MAAM,yBAAyB,GAAG;AAC/E,MAAE,KAAK;AAAA,MACL,MAAM;AAAA,MACN,OAAO;AAAA,MACP,OAAO;AAAA,IACT,CAAC;AAAA,EACH;AACA,SAAO;AACT;AAGO,SAAS,YAAY,KAAmB;AAC7C,SAAO,IAAI,qBAAqB,OAAQ,IAAI,eAAe,gBAAgB,IAAI,qBAAqB;AACtG;AAMO,SAAS,cAAc,SAA6B,CAAC,GAAiB;AAC3E,QAAM,MAAM,QAAQ;AACpB,QAAM,YAAY,kBAAkB,KAAK,MAAM;AAC/C,MAAI,UAAU,WAAW,EAAG,QAAO;AACnC,QAAM,SAAS,UAAU,OAAO,CAAC,MAAM,EAAE,UAAU,MAAM;AACzD,QAAM,SAAS,UAAU,IAAI,CAAC,MAAM,KAAK,EAAE,UAAU,SAAS,WAAM,GAAG,IAAI,EAAE,KAAK,EAAE,EAAE,KAAK,IAAI;AAC/F,QAAM,MAAM,2CAA2C,OAAO,MAAM,cAAc,UAAU,SAAS,OAAO,MAAM;AAClH,MAAI,OAAO,SAAS,KAAK,YAAY,GAAG,GAAG;AACzC,UAAM,IAAI,MAAM,GAAG,GAAG;AAAA,EAAK,MAAM;AAAA;AAAA,8FAAmG;AAAA,EACtI;AACA,UAAQ,KAAK,GAAG,GAAG;AAAA,EAAK,MAAM,EAAE;AAChC,SAAO;AACT;","names":[]}

package/dist/next/index.cjs

@@ -20,8 +20,13 @@ var __toCommonJS = (mod) => __copyProps(__defProp({}, "__esModule", { value: tru
 // src/next/index.ts
 var index_exports = {};
 __export(index_exports, {
+  bouwCsp: () => bouwCsp,
+  controleerSiteEnv: () => controleerSiteEnv,
+  envIsStrikt: () => envIsStrikt,
   xicmsAuthHeaders: () => xicmsAuthHeaders,
-  xicmsAuthRewrites: () => xicmsAuthRewrites
+  xicmsAuthRewrites: () => xicmsAuthRewrites,
+  xicmsEnvCheck: () => xicmsEnvCheck,
+  xicmsSecurityHeaders: () => xicmsSecurityHeaders
 });
 module.exports = __toCommonJS(index_exports);
 
@@ -52,8 +57,186 @@ function xicmsAuthRewrites() {
     { source: "/__/firebase/:path*", destination: `${doel}/__/firebase/:path*` }
   ];
 }
+
+// src/next/envCheck.ts
+var FIREBASE_PUBLIEK = [
+  "NEXT_PUBLIC_FIREBASE_API_KEY",
+  "NEXT_PUBLIC_FIREBASE_PROJECT_ID",
+  "NEXT_PUBLIC_FIREBASE_STORAGE_BUCKET",
+  "NEXT_PUBLIC_FIREBASE_APP_ID"
+];
+var FIREBASE_ADMIN = ["FIREBASE_PROJECT_ID", "FIREBASE_CLIENT_EMAIL", "FIREBASE_PRIVATE_KEY"];
+var LEEG_UITLEG = "staat er wel, maar is leeg. Op Vercel betekent dat meestal dat hij Sensitive is (die komen bij `vercel pull` leeg binnen). Een NEXT_PUBLIC-waarde is publiek: maak hem opnieuw met `vercel env add <NAAM> production --no-sensitive --force`.";
+function controleerSiteEnv(env, opties = {}) {
+  const m = [];
+  const heeft = (k) => typeof env[k] === "string" && env[k].trim() !== "";
+  const leeg = (k) => typeof env[k] === "string" && env[k].trim() === "";
+  const aanwezig = FIREBASE_PUBLIEK.filter(heeft);
+  if (aanwezig.length === 0 && !FIREBASE_PUBLIEK.some(leeg)) {
+    if (!opties.demo) {
+      m.push({
+        naam: "NEXT_PUBLIC_FIREBASE_*",
+        ernst: "fout",
+        tekst: "Geen Firebase-config. Zonder deze waarden werken inloggen, het beheer en formulieren niet. (Een demo-site zonder Firebase: `xicmsEnvCheck({ demo: true })`.)"
+      });
+    }
+  } else {
+    for (const k of FIREBASE_PUBLIEK) {
+      if (leeg(k)) m.push({ naam: k, ernst: "fout", tekst: `${k} ${LEEG_UITLEG}` });
+      else if (!heeft(k)) m.push({ naam: k, ernst: "fout", tekst: `${k} ontbreekt, terwijl de rest van de Firebase-config er w\xE9l is.` });
+    }
+    const sameOrigin = env.NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN === "1";
+    if (leeg("NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN") && !sameOrigin) {
+      m.push({ naam: "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN", ernst: "fout", tekst: `NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN ${LEEG_UITLEG}` });
+    } else if (!heeft("NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN") && !sameOrigin) {
+      m.push({
+        naam: "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN",
+        ernst: "waarschuwing",
+        tekst: "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN ontbreekt en NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN staat niet op 1: inloggen met Google werkt dan niet."
+      });
+    }
+  }
+  for (const k of Object.keys(env)) {
+    if (k.startsWith("NEXT_PUBLIC_") && !k.startsWith("NEXT_PUBLIC_VERCEL_") && !FIREBASE_PUBLIEK.includes(k) && k !== "NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN" && leeg(k)) {
+      m.push({ naam: k, ernst: "waarschuwing", tekst: `${k} ${LEEG_UITLEG} (Is leeg hier bedoeld, haal hem dan weg.)` });
+    }
+  }
+  const so = env.NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN;
+  if (so !== void 0 && so !== "" && so !== "1" && so !== "0") {
+    m.push({ naam: "NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN", ernst: "waarschuwing", tekst: `NEXT_PUBLIC_FIREBASE_AUTH_SAME_ORIGIN is "${so}"; alleen "1" zet hem aan.` });
+  }
+  const regio = env.NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION;
+  if (heeft("NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION") && !/^[a-z]+-[a-z]+\d$/.test(regio.trim())) {
+    m.push({ naam: "NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION", ernst: "waarschuwing", tekst: `NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION "${regio}" lijkt geen Google-regio (zoals europe-west1).` });
+  }
+  const admin = FIREBASE_ADMIN.filter(heeft);
+  if (admin.length > 0 && admin.length < FIREBASE_ADMIN.length) {
+    const mist = FIREBASE_ADMIN.filter((k) => !heeft(k));
+    m.push({ naam: mist.join(", "), ernst: "fout", tekst: `Firebase Admin is half ingesteld: ${mist.join(" en ")} ontbreekt. De server kan dan geen content lezen.` });
+  } else if (admin.length === 0 && !opties.demo && aanwezig.length > 0) {
+    m.push({
+      naam: "FIREBASE_*",
+      ernst: "waarschuwing",
+      tekst: "Geen Firebase Admin-sleutels (FIREBASE_PROJECT_ID/CLIENT_EMAIL/PRIVATE_KEY): de server leest dan alleen de gebundelde content, niet de live database."
+    });
+  }
+  if (heeft("FIREBASE_PRIVATE_KEY") && !env.FIREBASE_PRIVATE_KEY.includes("PRIVATE KEY")) {
+    m.push({ naam: "FIREBASE_PRIVATE_KEY", ernst: "fout", tekst: "FIREBASE_PRIVATE_KEY heeft niet de vorm van een sleutel (geen 'BEGIN PRIVATE KEY'). Plak de hele waarde uit het service-account-JSON, met de \\n's." });
+  }
+  if (heeft("FIREBASE_PROJECT_ID") && heeft("NEXT_PUBLIC_FIREBASE_PROJECT_ID") && env.FIREBASE_PROJECT_ID.trim() !== env.NEXT_PUBLIC_FIREBASE_PROJECT_ID.trim()) {
+    m.push({
+      naam: "FIREBASE_PROJECT_ID",
+      ernst: "fout",
+      tekst: `FIREBASE_PROJECT_ID (${env.FIREBASE_PROJECT_ID}) is een ander project dan NEXT_PUBLIC_FIREBASE_PROJECT_ID (${env.NEXT_PUBLIC_FIREBASE_PROJECT_ID}): de server en de browser zouden verschillende databases lezen.`
+    });
+  }
+  if (admin.length === FIREBASE_ADMIN.length && !heeft("XICMS_REVALIDATE_SECRET")) {
+    m.push({
+      naam: "XICMS_REVALIDATE_SECRET",
+      ernst: "waarschuwing",
+      tekst: "XICMS_REVALIDATE_SECRET ontbreekt: gepubliceerde wijzigingen verschijnen pas na het ISR-vangnet (tot een uur), niet binnen seconden."
+    });
+  }
+  return m;
+}
+function envIsStrikt(env) {
+  return env.XICMS_ENV_STRIKT === "1" || env.VERCEL_ENV === "production" && env.XICMS_ENV_STRIKT !== "0";
+}
+function xicmsEnvCheck(opties = {}) {
+  const env = process.env;
+  const meldingen = controleerSiteEnv(env, opties);
+  if (meldingen.length === 0) return meldingen;
+  const fouten = meldingen.filter((x) => x.ernst === "fout");
+  const regels = meldingen.map((x) => `  ${x.ernst === "fout" ? "\u2717" : "!"} ${x.tekst}`).join("\n");
+  const kop = `[xicms] Controle van de env-variabelen: ${fouten.length} fout(en), ${meldingen.length - fouten.length} waarschuwing(en)`;
+  if (fouten.length > 0 && envIsStrikt(env)) {
+    throw new Error(`${kop}
+${regels}
+
+De build is gestopt zodat er geen kapotte site live gaat. Bewust negeren: XICMS_ENV_STRIKT=0.`);
+  }
+  console.warn(`${kop}
+${regels}`);
+  return meldingen;
+}
+
+// src/next/securityHeaders.ts
+function basis(dev) {
+  return {
+    "default-src": ["'self'"],
+    // reCAPTCHA v3 = App Check; apis.google.com laadt Firebase Auth voor de login-popup.
+    // vercel.live = de commentaar-toolbar die Vercel op preview-deploys invoegt.
+    "script-src": ["'self'", "'unsafe-inline'", "https://www.google.com/recaptcha/", "https://www.gstatic.com/recaptcha/", "https://apis.google.com", "https://vercel.live", ...dev ? ["'unsafe-eval'"] : []],
+    // Astryx en Next zetten inline stijlen; Google Fonts als de site niet zelf host.
+    "style-src": ["'self'", "'unsafe-inline'", "https://fonts.googleapis.com", "https://vercel.live"],
+    "font-src": ["'self'", "data:", "https://fonts.gstatic.com", "https://vercel.live", "https://assets.vercel.com"],
+    // Foto's komen uit Storage, Unsplash, YouTube-thumbnails, … — beelden kunnen geen code draaien.
+    "img-src": ["'self'", "data:", "blob:", "https:"],
+    "media-src": ["'self'", "blob:", "https:"],
+    "connect-src": [
+      "'self'",
+      "https://*.googleapis.com",
+      "https://*.cloudfunctions.net",
+      "https://*.run.app",
+      "https://*.firebaseio.com",
+      "wss://*.firebaseio.com",
+      "https://*.firebaseapp.com",
+      "https://www.google.com",
+      // De engine-versie in /beheer komt rechtstreeks van npm (CoreVersion).
+      "https://registry.npmjs.org",
+      "https://vercel.live",
+      "wss://ws-us3.pusher.com",
+      ...dev ? ["ws:", "http://localhost:*", "http://127.0.0.1:*"] : []
+    ],
+    // Embeds (video, kaart, agenda, boekingswidgets) zijn iframes naar willekeurige diensten;
+    // die draaien in hun eigen origin. Ook de Firebase-login-handler en reCAPTCHA.
+    "frame-src": ["'self'", "https:"],
+    "worker-src": ["'self'", "blob:"],
+    // Het PDF-blok gebruikt bewust <object> (fallback met open-knop op mobiel). Browsers hebben geen
+    // plug-ins meer behalve de PDF-viewer, dus https: kost hier weinig; 'none' brak het PDF-blok.
+    "object-src": ["'self'", "https:"],
+    "base-uri": ["'self'"],
+    "form-action": ["'self'", "https:"],
+    // Niemand anders mag de site in een frame zetten (clickjacking).
+    "frame-ancestors": ["'self'"]
+  };
+}
+function bouwCsp(opties = {}) {
+  const dev = opties.dev ?? process.env.NODE_ENV !== "production";
+  const d = basis(dev);
+  for (const [k, bronnen] of Object.entries(opties.extra ?? {})) {
+    d[k] = [.../* @__PURE__ */ new Set([...d[k] ?? [], ...bronnen])];
+  }
+  const delen = Object.entries(d).map(([k, v]) => `${k} ${v.join(" ")}`);
+  if (opties.afdwingen && !dev) delen.push("upgrade-insecure-requests");
+  const pad = opties.rapportPad === void 0 ? "/api/csp-rapport" : opties.rapportPad;
+  if (pad) {
+    delen.push(`report-uri ${pad}`);
+    delen.push("report-to csp");
+  }
+  return delen.join("; ");
+}
+function xicmsSecurityHeaders(opties = {}) {
+  const pad = opties.rapportPad === void 0 ? "/api/csp-rapport" : opties.rapportPad;
+  const headers = [
+    { key: opties.afdwingen ? "Content-Security-Policy" : "Content-Security-Policy-Report-Only", value: bouwCsp(opties) },
+    // Geen MIME-gokken: een geüpload "plaatje" kan zo nooit als script draaien.
+    { key: "X-Content-Type-Options", value: "nosniff" },
+    // Externe sites zien alleen het domein, niet het volledige pad (privacy van bezoekers).
+    { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
+    // Een klantsite heeft geen camera, microfoon of betaal-API nodig. Locatie: alleen de site zelf.
+    { key: "Permissions-Policy", value: "camera=(), microphone=(), payment=(), usb=(), geolocation=(self)" }
+  ];
+  if (pad) headers.push({ key: "Reporting-Endpoints", value: `csp="${pad}"` });
+  return [{ source: "/:path*", headers }];
+}
 // Annotate the CommonJS export names for ESM import in node:
 0 && (module.exports = {
+  bouwCsp,
+  controleerSiteEnv,
+  envIsStrikt,
   xicmsAuthHeaders,
-  xicmsAuthRewrites
+  xicmsAuthRewrites,
+  xicmsEnvCheck,
+  xicmsSecurityHeaders
 });

package/dist/next/index.d.ts

@@ -3,3 +3,5 @@
  * niet in de browser, en mag dus niets uit de React-bundel meetrekken.
  */
 export { xicmsAuthRewrites, xicmsAuthHeaders, type XicmsRewrite, type XicmsHeader } from "./authRewrites.js";
+export { xicmsEnvCheck, controleerSiteEnv, envIsStrikt, type EnvMelding, type EnvErnst } from "./envCheck.js";
+export { xicmsSecurityHeaders, bouwCsp, type CspOpties, type CspDirective } from "./securityHeaders.js";

package/dist/next/index.js

@@ -1,6 +1,13 @@
 import { xicmsAuthRewrites, xicmsAuthHeaders } from "./authRewrites.js";
+import { xicmsEnvCheck, controleerSiteEnv, envIsStrikt } from "./envCheck.js";
+import { xicmsSecurityHeaders, bouwCsp } from "./securityHeaders.js";
 export {
+  bouwCsp,
+  controleerSiteEnv,
+  envIsStrikt,
   xicmsAuthHeaders,
-  xicmsAuthRewrites
+  xicmsAuthRewrites,
+  xicmsEnvCheck,
+  xicmsSecurityHeaders
 };
 //# sourceMappingURL=index.js.map

package/dist/next/index.js.map

@@ -1 +1 @@
-{"version":3,"sources":["../../src/next/index.ts"],"sourcesContent":["/**\n * Helpers voor `next.config.ts`. Bewust een eigen ingang: dit draait in Node tijdens de build,\n * niet in de browser, en mag dus niets uit de React-bundel meetrekken.\n */\nexport { xicmsAuthRewrites, xicmsAuthHeaders, type XicmsRewrite, type XicmsHeader } from \"./authRewrites\";\n"],"mappings":"AAIA,SAAS,mBAAmB,wBAA6D;","names":[]}
+{"version":3,"sources":["../../src/next/index.ts"],"sourcesContent":["/**\n * Helpers voor `next.config.ts`. Bewust een eigen ingang: dit draait in Node tijdens de build,\n * niet in de browser, en mag dus niets uit de React-bundel meetrekken.\n */\nexport { xicmsAuthRewrites, xicmsAuthHeaders, type XicmsRewrite, type XicmsHeader } from \"./authRewrites\";\nexport { xicmsEnvCheck, controleerSiteEnv, envIsStrikt, type EnvMelding, type EnvErnst } from \"./envCheck\";\nexport { xicmsSecurityHeaders, bouwCsp, type CspOpties, type CspDirective } from \"./securityHeaders\";\n"],"mappings":"AAIA,SAAS,mBAAmB,wBAA6D;AACzF,SAAS,eAAe,mBAAmB,mBAAmD;AAC9F,SAAS,sBAAsB,eAAkD;","names":[]}

package/dist/next/securityHeaders.d.ts

@@ -0,0 +1,36 @@
+/**
+ * Beveiligingsheaders met een Content Security Policy (8.7) — naar het idee van Astro's
+ * `security.csp`. Een CSP vertelt de browser welke bronnen een pagina mag laden. Komt er toch een
+ * vreemd script binnen (via geplakte HTML, een gehackte embed, een kwaadwillende extensie die de
+ * DOM aanpast), dan weigert de browser het.
+ *
+ * Standaard ALLEEN RAPPORTEREN (`Content-Security-Policy-Report-Only`): de browser blokkeert niets,
+ * maar meldt elke overtreding aan `/api/csp-rapport` (zie `cspRapportPOST`), zodat die in de
+ * Vercel-logs staan. Laat dat een week lopen, vul `extra` aan met wat legitiem bleek, en zet dan
+ * `afdwingen: true`.
+ *
+ * Waarom 'unsafe-inline' voor scripts: Next zet inline scripts in statisch gegenereerde pagina's.
+ * Nonces vragen een dynamische render per verzoek, en dat kost ons de SSG-snelheid. De rest van de
+ * policy (geen vreemde hosts, geen object/embed, geen framing door anderen, base-uri vast) blijft
+ * waardevol; Astro maakt dezelfde afweging niet omdat het de scripts kan hashen.
+ *
+ * Gebruik in next.config.ts:
+ *
+ *   async headers() { return [...xicmsAuthHeaders(), ...xicmsSecurityHeaders()]; }
+ */
+import type { XicmsHeader } from "./authRewrites.js";
+export type CspDirective = "default-src" | "script-src" | "style-src" | "font-src" | "img-src" | "media-src" | "connect-src" | "frame-src" | "worker-src" | "object-src" | "base-uri" | "form-action" | "frame-ancestors";
+export interface CspOpties {
+    /** true = blokkeren; standaard alleen rapporteren. */
+    afdwingen?: boolean;
+    /** Waar de browser overtredingen meldt; `false` = nergens (alleen de console). */
+    rapportPad?: string | false;
+    /** Extra bronnen per directive, bv. `{ "script-src": ["https://plausible.io"] }`. */
+    extra?: Partial<Record<CspDirective, string[]>>;
+    /** Ontwikkelmodus (HMR, eval, emulators). Standaard: NODE_ENV !== "production". */
+    dev?: boolean;
+}
+/** Bouwt de policy-string. Puur, voor tests en voor wie hem elders nodig heeft. */
+export declare function bouwCsp(opties?: CspOpties): string;
+/** Headers voor de hele site: CSP (rapport of afdwingen) plus een paar goedkope basisheaders. */
+export declare function xicmsSecurityHeaders(opties?: CspOpties): XicmsHeader[];

package/dist/next/securityHeaders.js

@@ -0,0 +1,74 @@
+function basis(dev) {
+  return {
+    "default-src": ["'self'"],
+    // reCAPTCHA v3 = App Check; apis.google.com laadt Firebase Auth voor de login-popup.
+    // vercel.live = de commentaar-toolbar die Vercel op preview-deploys invoegt.
+    "script-src": ["'self'", "'unsafe-inline'", "https://www.google.com/recaptcha/", "https://www.gstatic.com/recaptcha/", "https://apis.google.com", "https://vercel.live", ...dev ? ["'unsafe-eval'"] : []],
+    // Astryx en Next zetten inline stijlen; Google Fonts als de site niet zelf host.
+    "style-src": ["'self'", "'unsafe-inline'", "https://fonts.googleapis.com", "https://vercel.live"],
+    "font-src": ["'self'", "data:", "https://fonts.gstatic.com", "https://vercel.live", "https://assets.vercel.com"],
+    // Foto's komen uit Storage, Unsplash, YouTube-thumbnails, … — beelden kunnen geen code draaien.
+    "img-src": ["'self'", "data:", "blob:", "https:"],
+    "media-src": ["'self'", "blob:", "https:"],
+    "connect-src": [
+      "'self'",
+      "https://*.googleapis.com",
+      "https://*.cloudfunctions.net",
+      "https://*.run.app",
+      "https://*.firebaseio.com",
+      "wss://*.firebaseio.com",
+      "https://*.firebaseapp.com",
+      "https://www.google.com",
+      // De engine-versie in /beheer komt rechtstreeks van npm (CoreVersion).
+      "https://registry.npmjs.org",
+      "https://vercel.live",
+      "wss://ws-us3.pusher.com",
+      ...dev ? ["ws:", "http://localhost:*", "http://127.0.0.1:*"] : []
+    ],
+    // Embeds (video, kaart, agenda, boekingswidgets) zijn iframes naar willekeurige diensten;
+    // die draaien in hun eigen origin. Ook de Firebase-login-handler en reCAPTCHA.
+    "frame-src": ["'self'", "https:"],
+    "worker-src": ["'self'", "blob:"],
+    // Het PDF-blok gebruikt bewust <object> (fallback met open-knop op mobiel). Browsers hebben geen
+    // plug-ins meer behalve de PDF-viewer, dus https: kost hier weinig; 'none' brak het PDF-blok.
+    "object-src": ["'self'", "https:"],
+    "base-uri": ["'self'"],
+    "form-action": ["'self'", "https:"],
+    // Niemand anders mag de site in een frame zetten (clickjacking).
+    "frame-ancestors": ["'self'"]
+  };
+}
+function bouwCsp(opties = {}) {
+  const dev = opties.dev ?? process.env.NODE_ENV !== "production";
+  const d = basis(dev);
+  for (const [k, bronnen] of Object.entries(opties.extra ?? {})) {
+    d[k] = [.../* @__PURE__ */ new Set([...d[k] ?? [], ...bronnen])];
+  }
+  const delen = Object.entries(d).map(([k, v]) => `${k} ${v.join(" ")}`);
+  if (opties.afdwingen && !dev) delen.push("upgrade-insecure-requests");
+  const pad = opties.rapportPad === void 0 ? "/api/csp-rapport" : opties.rapportPad;
+  if (pad) {
+    delen.push(`report-uri ${pad}`);
+    delen.push("report-to csp");
+  }
+  return delen.join("; ");
+}
+function xicmsSecurityHeaders(opties = {}) {
+  const pad = opties.rapportPad === void 0 ? "/api/csp-rapport" : opties.rapportPad;
+  const headers = [
+    { key: opties.afdwingen ? "Content-Security-Policy" : "Content-Security-Policy-Report-Only", value: bouwCsp(opties) },
+    // Geen MIME-gokken: een geüpload "plaatje" kan zo nooit als script draaien.
+    { key: "X-Content-Type-Options", value: "nosniff" },
+    // Externe sites zien alleen het domein, niet het volledige pad (privacy van bezoekers).
+    { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
+    // Een klantsite heeft geen camera, microfoon of betaal-API nodig. Locatie: alleen de site zelf.
+    { key: "Permissions-Policy", value: "camera=(), microphone=(), payment=(), usb=(), geolocation=(self)" }
+  ];
+  if (pad) headers.push({ key: "Reporting-Endpoints", value: `csp="${pad}"` });
+  return [{ source: "/:path*", headers }];
+}
+export {
+  bouwCsp,
+  xicmsSecurityHeaders
+};
+//# sourceMappingURL=securityHeaders.js.map

package/dist/next/securityHeaders.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":["../../src/next/securityHeaders.ts"],"sourcesContent":["/**\n * Beveiligingsheaders met een Content Security Policy (8.7) — naar het idee van Astro's\n * `security.csp`. Een CSP vertelt de browser welke bronnen een pagina mag laden. Komt er toch een\n * vreemd script binnen (via geplakte HTML, een gehackte embed, een kwaadwillende extensie die de\n * DOM aanpast), dan weigert de browser het.\n *\n * Standaard ALLEEN RAPPORTEREN (`Content-Security-Policy-Report-Only`): de browser blokkeert niets,\n * maar meldt elke overtreding aan `/api/csp-rapport` (zie `cspRapportPOST`), zodat die in de\n * Vercel-logs staan. Laat dat een week lopen, vul `extra` aan met wat legitiem bleek, en zet dan\n * `afdwingen: true`.\n *\n * Waarom 'unsafe-inline' voor scripts: Next zet inline scripts in statisch gegenereerde pagina's.\n * Nonces vragen een dynamische render per verzoek, en dat kost ons de SSG-snelheid. De rest van de\n * policy (geen vreemde hosts, geen object/embed, geen framing door anderen, base-uri vast) blijft\n * waardevol; Astro maakt dezelfde afweging niet omdat het de scripts kan hashen.\n *\n * Gebruik in next.config.ts:\n *\n *   async headers() { return [...xicmsAuthHeaders(), ...xicmsSecurityHeaders()]; }\n */\nimport type { XicmsHeader } from \"./authRewrites\";\n\nexport type CspDirective =\n  | \"default-src\"\n  | \"script-src\"\n  | \"style-src\"\n  | \"font-src\"\n  | \"img-src\"\n  | \"media-src\"\n  | \"connect-src\"\n  | \"frame-src\"\n  | \"worker-src\"\n  | \"object-src\"\n  | \"base-uri\"\n  | \"form-action\"\n  | \"frame-ancestors\";\n\nexport interface CspOpties {\n  /** true = blokkeren; standaard alleen rapporteren. */\n  afdwingen?: boolean;\n  /** Waar de browser overtredingen meldt; `false` = nergens (alleen de console). */\n  rapportPad?: string | false;\n  /** Extra bronnen per directive, bv. `{ \"script-src\": [\"https://plausible.io\"] }`. */\n  extra?: Partial<Record<CspDirective, string[]>>;\n  /** Ontwikkelmodus (HMR, eval, emulators). Standaard: NODE_ENV !== \"production\". */\n  dev?: boolean;\n}\n\n/** De basis: wat XiCMS zelf nodig heeft (Firebase, App Check, Google Fonts, embeds). */\nfunction basis(dev: boolean): Record<CspDirective, string[]> {\n  return {\n    \"default-src\": [\"'self'\"],\n    // reCAPTCHA v3 = App Check; apis.google.com laadt Firebase Auth voor de login-popup.\n    // vercel.live = de commentaar-toolbar die Vercel op preview-deploys invoegt.\n    \"script-src\": [\"'self'\", \"'unsafe-inline'\", \"https://www.google.com/recaptcha/\", \"https://www.gstatic.com/recaptcha/\", \"https://apis.google.com\", \"https://vercel.live\", ...(dev ? [\"'unsafe-eval'\"] : [])],\n    // Astryx en Next zetten inline stijlen; Google Fonts als de site niet zelf host.\n    \"style-src\": [\"'self'\", \"'unsafe-inline'\", \"https://fonts.googleapis.com\", \"https://vercel.live\"],\n    \"font-src\": [\"'self'\", \"data:\", \"https://fonts.gstatic.com\", \"https://vercel.live\", \"https://assets.vercel.com\"],\n    // Foto's komen uit Storage, Unsplash, YouTube-thumbnails, … — beelden kunnen geen code draaien.\n    \"img-src\": [\"'self'\", \"data:\", \"blob:\", \"https:\"],\n    \"media-src\": [\"'self'\", \"blob:\", \"https:\"],\n    \"connect-src\": [\n      \"'self'\",\n      \"https://*.googleapis.com\",\n      \"https://*.cloudfunctions.net\",\n      \"https://*.run.app\",\n      \"https://*.firebaseio.com\",\n      \"wss://*.firebaseio.com\",\n      \"https://*.firebaseapp.com\",\n      \"https://www.google.com\",\n      // De engine-versie in /beheer komt rechtstreeks van npm (CoreVersion).\n      \"https://registry.npmjs.org\",\n      \"https://vercel.live\",\n      \"wss://ws-us3.pusher.com\",\n      ...(dev ? [\"ws:\", \"http://localhost:*\", \"http://127.0.0.1:*\"] : []),\n    ],\n    // Embeds (video, kaart, agenda, boekingswidgets) zijn iframes naar willekeurige diensten;\n    // die draaien in hun eigen origin. Ook de Firebase-login-handler en reCAPTCHA.\n    \"frame-src\": [\"'self'\", \"https:\"],\n    \"worker-src\": [\"'self'\", \"blob:\"],\n    // Het PDF-blok gebruikt bewust <object> (fallback met open-knop op mobiel). Browsers hebben geen\n    // plug-ins meer behalve de PDF-viewer, dus https: kost hier weinig; 'none' brak het PDF-blok.\n    \"object-src\": [\"'self'\", \"https:\"],\n    \"base-uri\": [\"'self'\"],\n    \"form-action\": [\"'self'\", \"https:\"],\n    // Niemand anders mag de site in een frame zetten (clickjacking).\n    \"frame-ancestors\": [\"'self'\"],\n  };\n}\n\n/** Bouwt de policy-string. Puur, voor tests en voor wie hem elders nodig heeft. */\nexport function bouwCsp(opties: CspOpties = {}): string {\n  const dev = opties.dev ?? process.env.NODE_ENV !== \"production\";\n  const d = basis(dev);\n  for (const [k, bronnen] of Object.entries(opties.extra ?? {}) as [CspDirective, string[]][]) {\n    d[k] = [...new Set([...(d[k] ?? []), ...bronnen])];\n  }\n  const delen = Object.entries(d).map(([k, v]) => `${k} ${v.join(\" \")}`);\n  // In report-only negeert de browser deze (met een waarschuwing), dus alleen bij afdwingen.\n  if (opties.afdwingen && !dev) delen.push(\"upgrade-insecure-requests\");\n  const pad = opties.rapportPad === undefined ? \"/api/csp-rapport\" : opties.rapportPad;\n  if (pad) {\n    delen.push(`report-uri ${pad}`);\n    delen.push(\"report-to csp\");\n  }\n  return delen.join(\"; \");\n}\n\n/** Headers voor de hele site: CSP (rapport of afdwingen) plus een paar goedkope basisheaders. */\nexport function xicmsSecurityHeaders(opties: CspOpties = {}): XicmsHeader[] {\n  const pad = opties.rapportPad === undefined ? \"/api/csp-rapport\" : opties.rapportPad;\n  const headers = [\n    { key: opties.afdwingen ? \"Content-Security-Policy\" : \"Content-Security-Policy-Report-Only\", value: bouwCsp(opties) },\n    // Geen MIME-gokken: een geüpload \"plaatje\" kan zo nooit als script draaien.\n    { key: \"X-Content-Type-Options\", value: \"nosniff\" },\n    // Externe sites zien alleen het domein, niet het volledige pad (privacy van bezoekers).\n    { key: \"Referrer-Policy\", value: \"strict-origin-when-cross-origin\" },\n    // Een klantsite heeft geen camera, microfoon of betaal-API nodig. Locatie: alleen de site zelf.\n    { key: \"Permissions-Policy\", value: \"camera=(), microphone=(), payment=(), usb=(), geolocation=(self)\" },\n  ];\n  if (pad) headers.push({ key: \"Reporting-Endpoints\", value: `csp=\"${pad}\"` });\n  return [{ source: \"/:path*\", headers }];\n}\n"],"mappings":"AAiDA,SAAS,MAAM,KAA8C;AAC3D,SAAO;AAAA,IACL,eAAe,CAAC,QAAQ;AAAA;AAAA;AAAA,IAGxB,cAAc,CAAC,UAAU,mBAAmB,qCAAqC,sCAAsC,2BAA2B,uBAAuB,GAAI,MAAM,CAAC,eAAe,IAAI,CAAC,CAAE;AAAA;AAAA,IAE1M,aAAa,CAAC,UAAU,mBAAmB,gCAAgC,qBAAqB;AAAA,IAChG,YAAY,CAAC,UAAU,SAAS,6BAA6B,uBAAuB,2BAA2B;AAAA;AAAA,IAE/G,WAAW,CAAC,UAAU,SAAS,SAAS,QAAQ;AAAA,IAChD,aAAa,CAAC,UAAU,SAAS,QAAQ;AAAA,IACzC,eAAe;AAAA,MACb;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA;AAAA,MAEA;AAAA,MACA;AAAA,MACA;AAAA,MACA,GAAI,MAAM,CAAC,OAAO,sBAAsB,oBAAoB,IAAI,CAAC;AAAA,IACnE;AAAA;AAAA;AAAA,IAGA,aAAa,CAAC,UAAU,QAAQ;AAAA,IAChC,cAAc,CAAC,UAAU,OAAO;AAAA;AAAA;AAAA,IAGhC,cAAc,CAAC,UAAU,QAAQ;AAAA,IACjC,YAAY,CAAC,QAAQ;AAAA,IACrB,eAAe,CAAC,UAAU,QAAQ;AAAA;AAAA,IAElC,mBAAmB,CAAC,QAAQ;AAAA,EAC9B;AACF;AAGO,SAAS,QAAQ,SAAoB,CAAC,GAAW;AACtD,QAAM,MAAM,OAAO,OAAO,QAAQ,IAAI,aAAa;AACnD,QAAM,IAAI,MAAM,GAAG;AACnB,aAAW,CAAC,GAAG,OAAO,KAAK,OAAO,QAAQ,OAAO,SAAS,CAAC,CAAC,GAAiC;AAC3F,MAAE,CAAC,IAAI,CAAC,GAAG,oBAAI,IAAI,CAAC,GAAI,EAAE,CAAC,KAAK,CAAC,GAAI,GAAG,OAAO,CAAC,CAAC;AAAA,EACnD;AACA,QAAM,QAAQ,OAAO,QAAQ,CAAC,EAAE,IAAI,CAAC,CAAC,GAAG,CAAC,MAAM,GAAG,CAAC,IAAI,EAAE,KAAK,GAAG,CAAC,EAAE;AAErE,MAAI,OAAO,aAAa,CAAC,IAAK,OAAM,KAAK,2BAA2B;AACpE,QAAM,MAAM,OAAO,eAAe,SAAY,qBAAqB,OAAO;AAC1E,MAAI,KAAK;AACP,UAAM,KAAK,cAAc,GAAG,EAAE;AAC9B,UAAM,KAAK,eAAe;AAAA,EAC5B;AACA,SAAO,MAAM,KAAK,IAAI;AACxB;AAGO,SAAS,qBAAqB,SAAoB,CAAC,GAAkB;AAC1E,QAAM,MAAM,OAAO,eAAe,SAAY,qBAAqB,OAAO;AAC1E,QAAM,UAAU;AAAA,IACd,EAAE,KAAK,OAAO,YAAY,4BAA4B,uCAAuC,OAAO,QAAQ,MAAM,EAAE;AAAA;AAAA,IAEpH,EAAE,KAAK,0BAA0B,OAAO,UAAU;AAAA;AAAA,IAElD,EAAE,KAAK,mBAAmB,OAAO,kCAAkC;AAAA;AAAA,IAEnE,EAAE,KAAK,sBAAsB,OAAO,mEAAmE;AAAA,EACzG;AACA,MAAI,IAAK,SAAQ,KAAK,EAAE,KAAK,uBAAuB,OAAO,QAAQ,GAAG,IAAI,CAAC;AAC3E,SAAO,CAAC,EAAE,QAAQ,WAAW,QAAQ,CAAC;AACxC;","names":[]}

package/dist/patterns/builtins.d.ts

@@ -27,5 +27,12 @@ export declare const pageLanding: Pattern;
 export declare const pageServices: Pattern;
 export declare const pageAbout: Pattern;
 export declare const pageContact: Pattern;
+export declare const pageTarieven: Pattern;
+export declare const pageMenukaart: Pattern;
+export declare const pageReserveren: Pattern;
+export declare const pageTeam: Pattern;
+export declare const pageVerhuur: Pattern;
+export declare const pagePortfolio: Pattern;
+export declare const pageAgenda: Pattern;
 /** Alle ingebouwde patronen. */
 export declare const builtinPatterns: Pattern[];