Статус: ✅ Актуально · Обновлено: 2026-10-15 (латка С128) Мост, не копия: устройство дома — в docs/АРХИТЕКТУРА.md, правила агентов — в AGENTS.md. Здесь — только безопасность.
- Приватный канал — GitHub «Report a vulnerability» (Security → Advisories → Report a vulnerability): уведомление получает владелец репозитория @rtynbirf, публикация — только после фикса и по его слову.
- Что приложить: дверь/файл, шаги воспроизведения, ожидание vs факт, версия такта (
data/versions.json→дом.версия). - Срок ответа: честно 7 дней (дом живёт тактами, без дежурной смены); критичное (утечка данных, обход CSP, потеря офлайна) — владелец поднимает внеочередной такт.
- Не вскрывайте публично до фикса: дом публичный, но человек главнее автоматики — не оставляйте живую дыру на витрине.
- Закон дома: сеть — только по явному слову человека (И-01). Дом без сервера, без слежки, без рекламы; телеметрии нет.
- CSP-мета — постур А:
script-src 'self' 'unsafe-inline' 'wasm-unsafe-eval' blob:; внешние хосты в script-src — только jsdelivr (ЛАДОМ). Шрамы: v10.52, v10.54 (см. АРХИТЕКТУРУ). - SRI: все внешние скрипты несут
integrity+crossorigin(три.js ×5 — такт v11.47). - Гейт: Такт-гейт (
.github/workflows/такт_гейт.yml) — тесты-оракулы на каждый пуш в main; Lighthouse — отдельный падающий гейт (a11y-пороги вlighthouserc.json). - Секреты: сканер аудита дома проверял 286 файлов — реальных секретов 0.
INNERTUBE_API_KEYв коде — публичный клиентский ключ YouTube (такой же стоит на youtube.com в браузере у каждого), не секрет дома.
- Отсутствие сети у фичи — это закон, не дыра.
localStorage/OPFS как единственное хранилище — приватность дома (данные не покидают устройство).- Честный красный Lighthouse — известный backlog Волны 2 (см. docs/ДОРОЖНАЯ_КАРТА.md, R3), ничего не скрывается.
Найденное и починенное вписывается в летопись тактов (CHANGELOG.md) с именем нашедшего — дом помнит всё.