Bảo mật
Cách dịch vụ được khóa, và cách báo một lỗ hổng.
Khóa API
Chỉ hiện một lần. Bản lưu là HMAC-SHA256 với pepper APP_SECRET. Khóa cũ dạng SHA-256 vẫn được đối chiếu.
Mật khẩu
Băm bằng bcrypt. Tối thiểu 10 ký tự. Năm lần đăng nhập sai thì khóa 15 phút.
Phiên
JWT có hạn. POST /api/refresh cấp token mới mà không đọc lại hồ sơ.
Trình duyệt
CORS chỉ mở cho origin của site. Cookie token dùng SameSite=Strict. Dashboard gửi Authorization, không dựa vào cookie cho API.
Nhật ký quản trị
Đổi credit và thao tác admin ghi vào admin_audit_log.
Báo lỗi
Viết security@nestip.net. Chính sách đầy đủ nằm ở SECURITY.md trong mã nguồn và tại /.well-known/security.txt.