# Carpeta api/ — solo peticiones AJAX desde este servidor
# Bloquea acceso directo por URL (browser, curl, scrapers externos)

# Requerir cabecera XMLHttpRequest (enviada por fetch/jQuery automáticamente)
SetEnvIfNoCase X-Requested-With XMLHttpRequest ajax_request=1
Deny from all
Allow from env=ajax_request
