امنیت از کم‌کردن داده مرکزی شروع می‌شود
پولم‌کو Local-first طراحی شده تا سوابق مالی روزمره برای کارکرد عادی به یک حساب یا دیتابیس مرکزی وابسته نباشند. با این حال امنیت دستگاه، مرورگر و بکاپ همچنان مهم است.
داده مالی محلی
رکوردهای مالی اصلی در IndexedDB مرورگر می‌مانند. APIهای بازار برای Quote عمومی هستند و نباید مبلغ‌ها یا تاریخچه مالی شخصی را دریافت کنند.
Secretهای سرور
کلید BrsApi و توکن Tindex فقط Server-side هستند و نباید با نام NEXT_PUBLIC یا داخل مخزن Commit شوند. TSETMC برای مسیر مستقیم بورس API Key ندارد.
بکاپ رمزنگاری‌شده
بکاپ رمزدار از PBKDF2-SHA256 و AES-GCM استفاده می‌کند؛ فایل‌های جدید قبل از Restore از نظر SHA-256 و سازگاری Schema هم بررسی می‌شوند. رمز بکاپ ذخیره نمی‌شود.
انتقال مستقیم
Device Transfer از WebRTC DataChannel استفاده می‌کند و Payload پیش از ارسال با رمز یک‌بارمصرف AES-GCM رمز می‌شود. Pairing code و PIN را فقط بین دو دستگاه خودت جابه‌جا کن.
گزارش مسئولانه آسیب‌پذیری
اگر مشکل امنیتی پیدا کردی، اطلاعات حساس واقعی، Backup، Token یا داده مالی را داخل Issue عمومی قرار نده. ابتدا راهنمای Security مخزن را بخوان و فقط اطلاعات لازم برای بازتولید امن مشکل را ارائه کن.
مشاهده SECURITY.md در GitHubBackground Push آزمایشی در Build عادی غیرفعال است و Redis/VAPID/Cron برای استفاده معمول لازم نیست.