Hallo,

standardmäßig sind die hochgeladenen Fotos nicht vor einem Direktzugriff ohne Anmeldung geschützt. Das hab eich wie folgt nachgeholt:

Plugin "LocalFile Editor" installieren und ausführen
Im Plugin dann auf "Lokale Konfiguration" gehen und folgende 2 Zeilen eintragen:

$conf['original_url_protection'] = 'ALL';
$conf['derivative_url_style'] = 2;

Hiermit werden die Orginalbilder über ein PHP-Skript ausgeliefert. Mit der zweiten Zeile sagt man das auch die generierten Bilder (Thumbs etc.) ebenfalls über ein PHP-Skript ausgeliefert werden.

Es sollten folgende .htaccess-Dateien erstellt werden:

/photos/_data/i/ mit folgenden Inhalt:
deny from all

/photos/galleries/
deny from all

/photos/upload/
deny from all

Abschließend muss der Template-Cache resetet werden: -> Werkzeuge -> Wartung -> Kompilierte Vorlagen entfernen.
Die Verzeichnisanzeige wird durch die index.htm in jedem Verzeichnis unterbunden.

Jetzt muss noch Piwigo selbst abgesichert werden. Dazu eine .htaccess im Haupt-VZ erstellen (bei mir photos/.htaccess):

# Security Headers
<IfModule mod_headers.c>
    Header set X-XSS-Protection "1; mode=block"
    Header set X-Frame-Options "SAMEORIGIN"
    Header set X-Content-Type-Options "nosniff"
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
    Header set Referrer-Policy "same-origin"
    Header set Permissions-Policy "geolocation=(), midi=(), camera=(), usb=(), magnetometer=(), accelerometer=(), speaker=(), gyroscope=(), microphone=(), vr=(), ambient-light-sensor=()"
    Header set Content-Security-Policy " default-src 'none'; connect-src 'self'; font-src 'self' data:; img-src 'self' data: *.tile.openstreetmap.org data: https://piwigo.org; media-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; frame-ancestors 'self'; base-uri 'self'; form-action 'self'"
</IfModule>