Практики безопасности

Механизмы изоляции аккаунтов, владения ключами и точного учёта.

Аутентификация и ключи

Входите с созданным 16-значным ключом аккаунта или почтой и паролем. Ключ аккаунта показывается один раз, не восстанавливается и отличается от API-ключей. Сессии панели используют HttpOnly cookie и проверки источника. Публичные API-запросы требуют отдельных криптографических API-ключей. Исходные API-ключи показываются один раз и хранятся хешами. Административные действия требуют ролевого доступа и MFA.

Финансовая целостность

D1 — авторитетное хранилище баланса и реестра. Условные транзакционные записи и Durable Objects для каждого аккаунта защищают резервирование и расчёты. Уникальные финансовые ссылки предотвращают повторные списания и зачисления. Неопределённое использование остаётся в резерве для проверки.

Минимум данных

Записи активности не содержат промпты, ответы, данные инструментов и заголовки авторизации. Логирование тел и трассировка Workers отключены. Рекламных трекеров нет.

Сообщить о проблеме

Сообщайте об уязвимостях через опубликованный оператором контакт безопасности. Укажите краткое описание, эндпоинт и безопасные шаги воспроизведения. Не обращайтесь к данным других клиентов и не раскрывайте секреты.

Обновлено 1 ноября 2026 г.