Checklist bảo mật

Đi qua danh sách này một lần sau khi bật Cloudflare Access.

• Cloudflare Access bảo vệ toàn bộ Worker, với policy ghi rõ email của bạn, không phải “everyone”.
• ALLOWED_EMAILS liệt kê đúng những email đó làm lớp khoá thứ hai.
• DEV_USER_EMAIL không được đặt trên production. Ở đó nó bị bỏ qua, nhưng không có lý do gì để đặt.
• Nếu /api/v1 dùng policy Bypass, có một rule rate limiting của Cloudflare cho /api/v1/*. Gói Free có sẵn một rule.
• Token có hạn dùng và scope hẹp nhất đủ dùng. Thu hồi những token không còn dùng.
• Passphrase dài (một câu từ năm từ trở lên), và mã khôi phục được cất tách khỏi nó.
• Bạn cập nhật bản phát hành đều đặn. Giới thiệu và cập nhật trong app báo khi có bản mới.

Token làm được gì

	Token read	Token write	Phiên web
Tải ciphertext và khoá đã bọc	✓	✓	✓
Tạo, sửa, bỏ vào thùng rác hoặc xoá ghi chú		✓	✓
Đổi passphrase			✓
Tạo hoặc thu hồi token			✓

Token chỉ được chấp nhận trên /api/v1, không bao giờ dưới dạng cookie. Các route /api của web app chỉ chấp nhận phiên Cloudflare Access.

Để báo cáo lỗ hổng, làm theo SECURITY.md.