• .env не коммитится в репозиторий.
• Токены и API-ключи не публикуются в issue/PR и открытых логах.
• Доступ к боту ограничивается через ALLOWED_USERS.
• Перед публичным релизом ключи проходят ротацию.

• .env исключен через .gitignore.
• Runtime-данные пользователей не попадают в git (presets/*.json, sessions/runtime.json, sessions/preview_artifacts/).
• .env.example содержит только placeholder-значения.

1. Проверьте историю коммитов на отсутствие секретов.
2. Проверьте .env.example на отсутствие реальных токенов.
3. Убедитесь, что .env не попадает в staging.
4. Убедитесь, что пользовательские runtime-файлы не попадают в staging.
5. Добавьте и настройте LICENSE.

1. Немедленно отзовите и перевыпустите ключ у провайдера.
2. Удалите секрет из кода и документации.
3. Очистите историю репозитория, если секрет уже опубликован.
4. Проверьте, что новый ключ хранится только в .env или в защищенном секрете CI.

Если обнаружена уязвимость, детали не публикуются в открытом issue. Информация передается владельцу проекта приватно до выхода исправления.