# Security Policy (Yorùbá)

🌐 **Languages:** 🇺🇸 [English](../../../SECURITY.md) · 🇪🇹 [am](../am/SECURITY.md) · 🇸🇦 [ar](../ar/SECURITY.md) · 🇦🇿 [az](../az/SECURITY.md) · 🇧🇬 [bg](../bg/SECURITY.md) · 🇧🇩 [bn](../bn/SECURITY.md) · 🇧🇦 [bs](../bs/SECURITY.md) · 🇨🇿 [cs](../cs/SECURITY.md) · 🇩🇰 [da](../da/SECURITY.md) · 🇩🇪 [de](../de/SECURITY.md) · 🇬🇷 [el](../el/SECURITY.md) · 🇪🇸 [es](../es/SECURITY.md) · 🇪🇪 [et](../et/SECURITY.md) · 🇮🇷 [fa](../fa/SECURITY.md) · 🇫🇮 [fi](../fi/SECURITY.md) · 🇫🇷 [fr](../fr/SECURITY.md) · 🇮🇪 [ga](../ga/SECURITY.md) · 🇮🇳 [gu](../gu/SECURITY.md) · 🇳🇬 [ha](../ha/SECURITY.md) · 🇮🇱 [he](../he/SECURITY.md) · 🇮🇳 [hi](../hi/SECURITY.md) · 🇭🇷 [hr](../hr/SECURITY.md) · 🇭🇺 [hu](../hu/SECURITY.md) · 🇦🇲 [hy](../hy/SECURITY.md) · 🇮🇩 [id](../id/SECURITY.md) · 🇳🇬 [ig](../ig/SECURITY.md) · 🇮🇹 [it](../it/SECURITY.md) · 🇯🇵 [ja](../ja/SECURITY.md) · 🇬🇪 [ka](../ka/SECURITY.md) · 🇰🇭 [km](../km/SECURITY.md) · 🇮🇳 [kn](../kn/SECURITY.md) · 🇰🇷 [ko](../ko/SECURITY.md) · 🇱🇹 [lt](../lt/SECURITY.md) · 🇱🇻 [lv](../lv/SECURITY.md) · 🇮🇳 [ml](../ml/SECURITY.md) · 🇮🇳 [mr](../mr/SECURITY.md) · 🇲🇾 [ms](../ms/SECURITY.md) · 🇲🇹 [mt](../mt/SECURITY.md) · 🇲🇲 [my](../my/SECURITY.md) · 🇳🇵 [ne](../ne/SECURITY.md) · 🇳🇱 [nl](../nl/SECURITY.md) · 🇳🇴 [no](../no/SECURITY.md) · 🇮🇳 [or](../or/SECURITY.md) · 🇮🇳 [pa](../pa/SECURITY.md) · 🇵🇭 [phi](../phi/SECURITY.md) · 🇵🇱 [pl](../pl/SECURITY.md) · 🇵🇹 [pt](../pt/SECURITY.md) · 🇧🇷 [pt-BR](../pt-BR/SECURITY.md) · 🇷🇴 [ro](../ro/SECURITY.md) · 🇷🇺 [ru](../ru/SECURITY.md) · 🇱🇰 [si](../si/SECURITY.md) · 🇸🇰 [sk](../sk/SECURITY.md) · 🇸🇮 [sl](../sl/SECURITY.md) · 🇷🇸 [sr](../sr/SECURITY.md) · 🇸🇪 [sv](../sv/SECURITY.md) · 🇰🇪 [sw](../sw/SECURITY.md) · 🇮🇳 [ta](../ta/SECURITY.md) · 🇮🇳 [te](../te/SECURITY.md) · 🇹🇭 [th](../th/SECURITY.md) · 🇹🇷 [tr](../tr/SECURITY.md) · 🇺🇦 [uk-UA](../uk-UA/SECURITY.md) · 🇵🇰 [ur](../ur/SECURITY.md) · 🇺🇿 [uz](../uz/SECURITY.md) · 🇻🇳 [vi](../vi/SECURITY.md) · 🇨🇳 [zh-CN](../zh-CN/SECURITY.md) · 🇹🇼 [zh-TW](../zh-TW/SECURITY.md)

---

## Ìjábọ̀ Àwọn Àìlera Ààbò

Tí o bá ṣàwárí àìlera ààbò kan nínú OmniRoute, jọ̀wọ́ jábọ̀ rẹ̀ lọ́nà tó tọ́:

1. **MÁ ṢE** ṣí ọ̀ràn GitHub ti gbogbo ènìyàn lè rí
2. Lo [Àwọn Ìkìlọ̀ Ààbò GitHub](https://github.com/diegosouzapw/OmniRoute/security/advisories/new)
3. Fi àwọn wọ̀nyí kún un: àpèjúwe, àwọn ìgbésẹ̀ láti tún un ṣe, àti ipa tó lè ní

## Àkókò Ìdáhùn

| Ìpele                 | Àfojúsùn                  |
| --------------------- | ------------------------- |
| Ìjẹ́wọ́ Gbigba          | wákàtí 48                 |
| Ìṣàtúpalẹ̀ & Ìgbéléwọ̀n | ọjọ́ iṣẹ́ 5                 |
| Ìtújáde Àtúnṣe        | ọjọ́ iṣẹ́ 14 (tó ṣe pàtàkì) |

## Àwọn Ẹ̀yà Tí A Ṣe Àtìlẹ́yìn Fún

| Ẹ̀yà     | Ipò Àtìlẹ́yìn      |
| ------- | ----------------- |
| 3.8.x   | ✅ Ṣiṣẹ́           |
| 3.7.x   | ✅ Ààbò           |
| < 3.7.0 | ❌ Kò Ní Àtìlẹ́yìn |

---

## Àgbékalẹ̀ Ààbò

OmniRoute ń lo àwòṣe ààbò alápele-púpọ̀:

```
Ìbéèrè → CORS → Ọ̀nà Authz (ṣàkójọ → àwọn ìlànà → mú lò)
       → Àwọn Ìdènà Ààbò (ìbòjú PII, ìfisí àṣẹ sínú ìtọ́sọ́nà, afárá ìríran)
       → Olùdínwọ̀n Ìwọ̀n Ìbéèrè → Olùjá Ayíká → Àkókò Ìsinmi → Ìdènà Àwòṣe → Olùpèsè
```

### 🔐 Ìfàṣẹsí & Ìfúnni Láṣẹ

| Ẹ̀ya                          | Ìmúṣẹ                                                                                                                                                      |
| ---------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Ìwọlé Pátákó Ìṣàkóso**     | Ìfàṣẹsí tó dá lórí ọ̀rọ̀ aṣínà pẹ̀lú àwọn àmì JWT (àwọn kúkì HttpOnly)                                                                                        |
| **Ìfàṣẹsí Kọ́kọ́rọ́ API**       | Àwọn kọ́kọ́rọ́ tí HMAC fọwọ́ sí pẹ̀lú ìfọwọ́sí CRC                                                                                                               |
| **OAuth 2.0 + PKCE**         | OAuth aṣàwákiri/ẹ̀rọ pàtó sí olùpèsè ń lo PKCE níbi tí àtìlẹ́yìn bá wà; àwọn ẹ̀rí Devin fún gbígbéwọlé-nìkan ni a ń bójútó lọ́tọ̀.                              |
| **Ìsọdọtun Àmì**             | Ìsọdọtun àmì OAuth láìfọwọ́ṣe kí ó tó parí                                                                                                                  |
| **Àwọn Kúkì Tó Ní Ààbò**     | `AUTH_COOKIE_SECURE=true` fún àwọn àyíká HTTPS                                                                                                             |
| **Ọ̀nà Authz**                | Ìṣàkójọ ipa-ọ̀nà (PUBLIC / CLIENT_API / MANAGEMENT) — wo `docs/architecture/AUTHZ_GUIDE.md`                                                                 |
| **Àwọn Ìpele Olùṣọ́ Ipa-ọ̀nà** | Àwòṣe onípẹ̀ẹ́ta fún àwọn ipa-ọ̀nà ìṣàkóso (LOCAL_ONLY / ALWAYS_PROTECTED / MANAGEMENT) — wo `docs/security/ROUTE_GUARD_TIERS.md`                             |
| **MCP Pẹ̀lú Ààyè Ìṣàkóso**    | Àyè sí `/api/mcp/*` láti ọ̀nà jíjìn ni a fi àwọn kọ́kọ́rọ́ API tó ní ààyè `manage` ṣọ́; `/api/cli-tools/runtime/*` ṣì jẹ́ loopback-tó-múná. Wo ROUTE_GUARD_TIERS |
| **Àwọn Ààyè MCP**            | Àwọn ààyè kéékèèké 32 (read:health, write:combos, execute:completions, àti bẹ́ẹ̀ bẹ́ẹ̀ lọ) — wo `docs/frameworks/MCP-SERVER.md`                                |

### 🛡️ Ìfipamọ́ Ìkọ̀kọ̀ Nígbà Tí Dátà Wà Ní Ìsinmi

Gbogbo dátà aṣírí tí a tọ́jú sínú SQLite ni a fi **AES-256-GCM** pamọ́ pẹ̀lú ìṣẹ̀dá kọ́kọ́rọ́ scrypt:

- Àwọn kọ́kọ́rọ́ API, àwọn àmì ààyè, àwọn àmì ìsọdọtun, àti àwọn àmì ID
- Ọ̀nà ìgbékalẹ̀ oníẹ̀yà: `enc:v1:<iv>:<ciphertext>:<authTag>`
- Ipò ìkọjá tààrà (ọ̀rọ̀ lásán) nígbà tí a kò bá ṣètò `STORAGE_ENCRYPTION_KEY`

```bash
# Ṣẹ̀dá kọ́kọ́rọ́ ìfipamọ́ ìkọ̀kọ̀:
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)
```

### 🛡️ Ètò Àwọn Ìdènà Ààbò

OmniRoute wá pẹ̀lú **ìforúkọsílẹ̀ àwọn ìdènà ààbò** (`src/lib/guardrails/`) tí ó lè tún ara rẹ̀ kó láìdá iṣẹ́ dúró, pẹ̀lú àwọn ìdènà ààbò mẹ́ta tí a ti kọ́ sínú rẹ̀, tí a tò gẹ́gẹ́ bí ààyò:

| Ìdènà Ààbò         | Ààyò | Ète                                                                                                          |
| ------------------ | ---- | ------------------------------------------------------------------------------------------------------------ |
| `vision-bridge`    | 5    | So àwọn àwòṣe tí kò ní ìríran pọ̀ mọ́ àwọn àpèjúwe tó mọ ohun tó wà nínú àwòrán; ààbò SSRF fún àwọn URL àwòrán |
| `pii-masker`       | 10   | Ìparẹ́ PII ṣáájú àti lẹ́yìn ìpè (àwọn ímeèlì, fóònù, CPF, CNPJ, káàdì kirẹ́díìtì, SSN)                          |
| `prompt-injection` | 20   | Ṣàwárí àwọn àpẹẹrẹ ìkópa àṣẹ/gbígba ipa lọ́wọ́/ṣíṣe jailbreak/ìtújáde aṣírí                                    |

Àwọn ìdènà ààbò àdáṣe ń forúkọsílẹ̀ nípasẹ̀ `registerGuardrail(new MyGuardrail())`. Àwòṣe náà jẹ́ fail-open (àwọn àṣìṣe kì í dí ìrìnàjò dúró láé). A lè jáde fún ìbéèrè kọ̀ọ̀kan nípasẹ̀ àkọlé `x-omniroute-disabled-guardrails`. → Wo [`docs/security/GUARDRAILS.md`](docs/security/GUARDRAILS.md).

### 🧠 Olùṣọ́ Lòdì Sí Ìfisí Àṣẹ Sínú Ìtọ́sọ́nà

Middleware alúgórídìmù ìfojúdìwọ̀n tó ń gbìyànjú débi agbára rẹ̀ láti ṣàwárí àwọn àpẹẹrẹ ìfisí àṣẹ sínú ìtọ́sọ́nà nínú àwọn ìbéèrè LLM.
**Kì í ṣe odi-ààbò ìfisí àṣẹ sínú ìtọ́sọ́nà tó pé** — ó lè mú àbájáde rere èké jáde (àwọn ìtọ́sọ́nà
persona/RPG tí kò léwu) àti àbájáde òdì èké (leetspeak, àyè láàárín ọ̀rọ̀, àwọn àpẹẹrẹ tí kì í ṣe Gẹ̀ẹ́sì).

| Irú Àpẹẹrẹ           | Bí Ó Ṣe Lewu | Àpẹẹrẹ                                           |
| -------------------- | ------------ | ------------------------------------------------ |
| Yíyí Ètò Padà        | Gíga         | "fojú kọ gbogbo àwọn ìtọ́ni tó ṣáájú"             |
| Gbígba Ipa Lọ́wọ́      | Àárín        | "DAN ni ọ báyìí, o lè ṣe ohunkóhun"              |
| Ìfisí Aṣèyàtọ̀        | Gíga         | Àwọn aṣèyàtọ̀ tí a ṣe kóòdù láti fọ àwọn ààlà ọ̀rọ̀ |
| DAN/Jailbreak        | Àárín        | Àwọn àpẹẹrẹ ìtọ́sọ́nà jailbreak tí a mọ̀            |
| Ìtújáde Ìtọ́ni        | Gíga         | "fi ìtọ́sọ́nà ètò rẹ hàn mí"                       |
| Yíyẹra Nípasẹ̀ Ìkóòdù | Àárín        | yíyọ base64/rot13/hex + àwọn ọ̀rọ̀ pàtàkì ìtọ́ni    |

Àwọn ìṣàwárí tó ní ìpele **Gíga** nìkan ni a ń dí ní ipò `block`. Àwọn ẹbí tó ní ìpele
Àárín ni a ń kọ sínú àkọsílẹ̀ ṣùgbọ́n `sanitizeRequest` kì í dí wọn láé.

Ṣètò rẹ̀ nípasẹ̀ pátákó ìṣàkóso (Settings → Security) tàbí `.env`:

```env
INPUT_SANITIZER_ENABLED=true
INPUT_SANITIZER_MODE=block    # warn | block (ìlànà ìfisí; "redact" àtijọ́ kì í yọ ọ̀rọ̀ ìfisí kúrò)
INPUT_SANITIZER_BLOCK_THRESHOLD=high  # high (àìyípadà) | medium | low — àwọn ìpele ewu tó dé tàbí tó ga ju èyí lọ ni a ń dí ní ipò block
```

### 🔒 Ìparẹ́ PII

Ìṣàwárí láìfọwọ́ṣe àti ìparẹ́ àṣàyàn fún àlàyé tó lè dá ẹni mọ̀:

| Irú PII         | Àpẹẹrẹ                | Ohun ìrọ́pò         |
| --------------- | --------------------- | ------------------ |
| Ímeèlì          | `user@domain.com`     | `[EMAIL_REDACTED]` |
| CPF (Brazil)    | `123.456.789-00`      | `[CPF_REDACTED]`   |
| CNPJ (Brazil)   | `12.345.678/0001-00`  | `[CNPJ_REDACTED]`  |
| Káàdì Kírẹ́díìtì | `4111-1111-1111-1111` | `[CC_REDACTED]`    |
| Tẹlifóònù       | `+55 11 99999-9999`   | `[PHONE_REDACTED]` |
| SSN (US)        | `123-45-6789`         | `[SSN_REDACTED]`   |

```env
PII_REDACTION_ENABLED=true   # béèrè àtúnkọ PII; kò dá lórí INPUT_SANITIZER_MODE
PII_RESPONSE_SANITIZATION=true  # àṣàyàn: pa PII mọ́ nínú àwọn ìdáhùn olùpèsè tí a dá padà sí àwọn oníbàárà
```

### 🌐 Ààbò Nẹ́tíwọ́ọ̀kì

| Ẹ̀ya                      | Àpèjúwe                                                                                         |
| ------------------------ | ----------------------------------------------------------------------------------------------- |
| **CORS**                 | Àtòjọ ìyọ̀nda orísun-àgbélébú tí a sọ ní kedere (`CORS_ALLOWED_ORIGINS`; ti àtijọ́ `CORS_ORIGIN`) |
| **Àlẹ̀mọ́ IP**             | Àwọn ìpele IP inú àtòjọ ìyọ̀nda/àtòjọ ìdènà lórí pánẹ́ẹ̀lì ìṣàkóso                                 |
| **Ìdíwọ̀n Oṣùwọ̀n**        | Àwọn òpin oṣùwọ̀n fún olùpèsè kọ̀ọ̀kan pẹ̀lú ìfàsẹ́yìn aládàáṣiṣẹ́                                    |
| **Ìdènà Ìṣùpọ̀ Àìròtẹ́lẹ̀** | Mutex + títìpa fún ìsopọ̀ kọ̀ọ̀kan ń dènà àwọn 502 tó ń tàn kálẹ̀                                   |
| **Àmi-ìdánimọ̀ TLS**      | Ṣíṣe àfarawé àmi-ìdánimọ̀ TLS bíi ti aṣàwákiri láti dín ìṣàwárí bot kù                           |
| **Àmi-ìdánimọ̀ CLI**      | Ètò akọ́lé/ara fún olùpèsè kọ̀ọ̀kan láti bá àwọn àmì CLI àbínibí mu                                |

### 🔌 Ìfaradà & Wíwà-nílẹ̀

| Ẹ̀ya                  | Àpèjúwe                                                                            |
| -------------------- | ---------------------------------------------------------------------------------- |
| **Olùjá Circuit**    | Ìpínlẹ̀ mẹ́ta (Títì → Ṣí → Ṣí ní Ìdajì) fún olùpèsè kọ̀ọ̀kan, tí a fi pamọ́ sínú SQLite |
| **Àìyípadà Ìbéèrè**  | Fèrèsé ìṣẹ́jú-àáyá 5 láti yọ àwọn ìbéèrè àdáwòkọ kúrò                               |
| **Ìfàsẹ́yìn Onípele** | Àtúnwá aládàáṣiṣẹ́ pẹ̀lú àwọn ìdádúró tó ń pọ̀ sí i                                   |
| **Pánẹ́ẹ̀lì Ìlera**    | Àbójútó ìlera olùpèsè ní àsìkò gidi                                                |

### 📋 Ìbámu

| Ẹ̀ya                  | Àpèjúwe                                                                          |
| -------------------- | -------------------------------------------------------------------------------- |
| **Ìdádúró Àkọsílẹ̀**  | Ìmọ́tótó aládàáṣiṣẹ́ lẹ́yìn `CALL_LOG_RETENTION_DAYS`                               |
| **Kí-á-má-Ṣàkọsílẹ̀** | Àmì `noLog` fún kọ́kọ́rọ́ API kọ̀ọ̀kan ń pa ṣíṣe àkọsílẹ̀ ìbéèrè                       |
| **Àkọsílẹ̀ Àyẹ̀wò**    | Àwọn ìgbésẹ̀ ìṣàkóso ni a ń tọpinpin nínú tábìlì `audit_log`                      |
| **Àyẹ̀wò MCP**        | Ṣíṣe àkọsílẹ̀ àyẹ̀wò tí SQLite ń ṣe àtìlẹ́yìn fún gbogbo àwọn ìpè irinṣẹ́ MCP        |
| **Ìfọwọ́sowọ́pọ̀ Zod**  | Gbogbo àwọn ìwọlé API ni a ń fọwọ́sí pẹ̀lú àwọn schema Zod v4 nígbà ìrùjáde module |

---

## Àwọn Àyípadà Àyíká Tí A Nílò

Gbogbo àṣírí gbọ́dọ̀ ti ṣètò kí a tó bẹ̀rẹ̀ olupin náà. Olupin náà yóò **kùnà lẹ́sẹ̀kẹsẹ̀** bí wọ́n bá sọnù tàbí tí wọ́n kò bá lágbára tó.

```bash
# Ó ṢE PÀTÀKÌ — olupin kò ní bẹ̀rẹ̀ láìsí àwọn wọ̀nyí:
JWT_SECRET=$(openssl rand -base64 48)     # ó kéré tán, àmì 32
API_KEY_SECRET=$(openssl rand -hex 32)    # ó kéré tán, àmì 16

# A DÁBÀÁ — ń mú ìpàrokò ṣiṣẹ́ níbi ìpamọ́:
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)
```

Olupin náà máa ń kọ àwọn iye tí a mọ̀ pé kò lágbára bí `changeme`, `secret`, tàbí `password`.

---

## Ààbò Docker

- Lo aṣàmúlò tí kì í ṣe root níbi iṣẹ́ gidi
- So àwọn àṣírí pọ̀ gẹ́gẹ́ bí àwọn volume tí a lè kà nìkan
- Má ṣe da àwọn fáìlì `.env` sínú àwọn image Docker láé
- Lo `.dockerignore` láti yọ àwọn fáìlì ìkọ̀kọ̀ kúrò
- Ṣètò `AUTH_COOKIE_SECURE=true` nígbà tí ó bá wà lẹ́yìn HTTPS

```bash
docker run -d \
  --name omniroute \
  --restart unless-stopped \
  --read-only \
  -p 20128:20128 \
  -v omniroute-data:/app/data \
  -e JWT_SECRET="$(openssl rand -base64 48)" \
  -e API_KEY_SECRET="$(openssl rand -hex 32)" \
  -e STORAGE_ENCRYPTION_KEY="$(openssl rand -hex 32)" \
  diegosouzapw/omniroute:latest
```

---

## Àwọn Nǹkan Tí Ó Gbára Lé

- Ṣiṣe `npm audit` déédéé (`npm run audit:deps` ń bo apá pàtàkì + electron)
- Máa ṣe ìmúdójúìwọ̀n àwọn nǹkan tí iṣẹ́ náà gbára lé
- Iṣẹ́ náà ń lo `husky` + `lint-staged` fún àwọn àyẹ̀wò ṣáájú commit (lint-staged + check-docs-sync + check:any-budget:t11)
- Pipeline CI ń ṣiṣẹ́ àwọn òfin ààbò ESLint lórí gbogbo push (`no-eval`, `no-implied-eval`, `no-new-func` = àṣìṣe)
- A ń fìdí àwọn constant provider múlẹ̀ nígbà tí module bá ń kojọpọ̀ nípasẹ̀ Zod (`src/shared/validation/schemas.ts`)
- Àwọn library tó ní ààbò láti ìbẹ̀rẹ̀ tí a lò: `dompurify` / `isomorphic-dompurify` (XSS), `jose` (JWT), `better-sqlite3` (kò sí ewu SQLi nítorí àwọn query tó ní parameter), `bcryptjs` (hashing ọ̀rọ̀ aṣínà)

## Àwọn Òfin Ààbò Tó Múná Dájúdájú

Àwọn irinṣẹ́ àti àwọn olùṣàyẹ̀wò ń mú àwọn òfin wọ̀nyí ṣẹ:

1. **Má ṣe commit àwọn àṣírí láé** — git kò ka `.env`; `.env.example` ni àdàkọ àwòṣe (kò sí literal, àwọn comment nìkan — wo PUBLIC_CREDS.md ní ìsàlẹ̀)
2. **Má lo `eval()`, `new Function()`, tàbí eval àìṣe-taara láé** — ESLint ń mú èyí ṣẹ
3. **Má ré àwọn hook Husky kọjá láé** (`--no-verify`, `--no-gpg-sign`) láìsí ìfọwọ́sí kedere láti ọ̀dọ̀ olùṣiṣẹ́
4. **Má kọ SQL tààrà sínú àwọn route láé** — máa gba inú `src/lib/db/` kọjá ní gbogbo ìgbà (pẹ̀lú parameter)
5. **Máa fi Zod fìdí àwọn input múlẹ̀ ní gbogbo ìgbà** — `src/shared/validation/schemas.ts`
6. **Máa sọ àwọn header upstream di mímọ́ ní gbogbo ìgbà** — denylist wà nínú `src/shared/constants/upstreamHeaders.ts`
7. **Parọ́kọ àwọn ìjẹ́rìísí níbi ìpamọ́** — AES-256-GCM nípasẹ̀ `src/lib/db/encryption.ts`
8. **Àwọn atọ́ka OAuth upstream gbogbogbò nípasẹ̀ `resolvePublicCred()`** — má ṣe fi àwọn literal `AIza…` / `GOCSPX-…` / `…apps.googleusercontent.com` sínú source láé. Wo [`docs/security/PUBLIC_CREDS.md`](docs/security/PUBLIC_CREDS.md).
9. **Àwọn response àṣìṣe gbọ́dọ̀ gba inú `buildErrorBody()` / `sanitizeErrorMessage()` kọjá** — má ṣe fi `err.stack` / `err.message` tí kò tíì di mímọ́ sínú àwọn body response HTTP / SSE / executor / MCP láé. Wo [`docs/security/ERROR_SANITIZATION.md`](docs/security/ERROR_SANITIZATION.md).
10. **Àwọn iye runtime `exec()` / `spawn()` nípasẹ̀ option `env`** — má ṣe fi àwọn path ìta tàbí iye tí a kò fọkàn tán sínú àwọn script tí a fi ránṣẹ́ sí shell pẹ̀lú string interpolation láé. Ìtọ́kasí: `src/mitm/cert/install.ts::updateNssDatabases`.
11. **Yan àwọn library tó ní ààbò láti ìbẹ̀rẹ̀** — wo [tldrsec/awesome-secure-defaults](https://github.com/tldrsec/awesome-secure-defaults) (Helmet.js, DOMPurify, ssrf-req-filter, safe-regex, Google Tink). Lo wọ́n ṣáájú kí o tó kọ tìrẹ láti ìbẹ̀rẹ̀.

## Àwọn àbájáde ẹ̀rọ àyẹ̀wò supply-chain (Socket.dev / Snyk / irú rẹ̀)

> **Àkíyèsí ààlà:** `socket.yml` tó wà ní gbòǹgbò ibi ìpamọ́ náà ń ṣètò `projectIgnorePaths` nìkan fún àyẹ̀wò Socket.dev lẹ́yìn ìtẹ̀jáde lórí registry ti artifact npm tí a tẹ̀ jáde — kì í ṣe ìdènà àkópọ̀ CI/PR tí a ń fipá mú lò. Kò sí workflow kankan nínú `.github/workflows`, kò sí script `package.json` kankan, bẹ́ẹ̀ ni kò sí target `Makefile` kankan tó ń pe Socket.dev.

Artifact npm `omniroute` tí a tẹ̀ jáde ní build Next.js `output: "standalone"`
nínú, èyí túmọ̀ sí pé gbogbo route handler — pẹ̀lú àwọn iṣẹ́ ànfàní-gíga
tí a ṣàkọsílẹ̀ (MITM, ìkó wọlé Zed, Cloud Sync, olùbojútó service tó wà nínú rẹ̀) — máa ń
parí sínú àwọn chunk `.next/server/*.js` tí a ti dín kù. Àwọn ẹ̀rọ àyẹ̀wò supply-chain tó
dá lórí heuristic sábà máa ń fi àpẹẹrẹ àwọn chunk wọ̀nyẹn wé àwọn ìbuwọ́lu malware.

Ètò scanner tí a ń lò wà ní [`socket.yml`](socket.yml) ní
gbòǹgbò repo (ọ̀nà kika Socket.dev GitHub App v2 — wo
<https://docs.socket.dev/docs/socket-yml>). Ó yọ àwọn directory tí a kò fi ránṣẹ́ jáde ní kedere
(`tests/`, `_tasks/`, `_references/`, `_ideia/`,
`_mono_repo/`, `docs/`, àti bẹ́ẹ̀ bẹ́ẹ̀ lọ) kí scanner náà lè jabo lórí àwọn ipa-ọ̀nà code tí
ó dé ọ̀dọ̀ àwọn olumulo tí a tẹ̀jáde fún ní ti gidi nìkan — Socket
GitHub App tó ń ka fáìlì yẹn ló ń darí àyẹ̀wò náà fúnra rẹ̀, kì í ṣe workflow kan nínú ibi ìpamọ́ yìí.

Fún ẹ̀ka àbájáde kọ̀ọ̀kan, a ń tọ́jú ìjẹ́rìí olùtọ́jú kan fún àbájáde kọ̀ọ̀kan:

- **[`docs/security/SOCKET_DEV_FINDINGS.md`](docs/security/SOCKET_DEV_FINDINGS.md)** —
  àwòrán ìbáṣepọ̀ fún àbájáde kọ̀ọ̀kan: fáìlì orísun ↔ chunk tí a sàmì sí ↔ ìhùwàsí ↔ ìdínkù ewu
  tí a lò nínú v3.8.6.
- Àwọn block `SECURITY-AUDITOR-NOTE:` inú orísun ní ibi function kọ̀ọ̀kan tí a sàmì sí
  ń tọ́ka padà sí document kan náà.

Fún àwọn olumulo tí pipeline wọn kò lè dín ìkìlọ̀ náà kù: kọ́ build pẹ̀lú
`OMNIROUTE_BUILD_PROFILE=minimal npm run build`. Èyí rọ́pò àwọn module
mẹ́rin tó ní ìfarabalẹ̀ pẹ̀lú stubs tí ń dá HTTP 503 `feature-disabled` padà ní
runtime, kí àwọn ipa-ọ̀nà code tó ní ànfàní-gíga má bàa sí nínú bundle náà ní ti ara.
Wo [`docs/security/SOCKET_DEV_FINDINGS.md`](docs/security/SOCKET_DEV_FINDINGS.md)
fún ìlànà ìtẹ̀jáde náà.

## Àwọn ìtọ́kasí

- [`docs/architecture/AUTHZ_GUIDE.md`](docs/architecture/AUTHZ_GUIDE.md) — pipeline ìfúnni-láṣẹ
- [`docs/security/GUARDRAILS.md`](docs/security/GUARDRAILS.md) — ètò guardrails
- [`docs/security/COMPLIANCE.md`](docs/security/COMPLIANCE.md) — àkọsílẹ̀ àyẹ̀wò àti ìpamọ́ rẹ̀
- [`docs/security/PUBLIC_CREDS.md`](docs/security/PUBLIC_CREDS.md) — àpẹẹrẹ **tí ó jẹ́ dandan** fún àwọn ẹ̀rí ìdánimọ̀ upstream gbogbogbò
- [`docs/security/ERROR_SANITIZATION.md`](docs/security/ERROR_SANITIZATION.md) — àpẹẹrẹ **tí ó jẹ́ dandan** fún àwọn èsì àṣìṣe
- [`docs/security/SOCKET_DEV_FINDINGS.md`](docs/security/SOCKET_DEV_FINDINGS.md) — ìjẹ́rìísí olùtọ́jú fún àwọn àbájáde aṣàyẹ̀wò pq-ìpèsè
- [`docs/architecture/RESILIENCE_GUIDE.md`](docs/architecture/RESILIENCE_GUIDE.md) — circuit breaker + cooldown + lockout
- [`docs/security/STEALTH_GUIDE.md`](docs/security/STEALTH_GUIDE.md) — ìdánimọ̀ ìtẹ̀wọ́-ọ̀nà TLS (ìkìlọ̀ nípa òfin/ìwà rere)
- [`CLAUDE.md`](CLAUDE.md) — àwọn òfin líle fún àwọn aṣojú AI
- [tldrsec/awesome-secure-defaults](https://github.com/tldrsec/awesome-secure-defaults) — àwọn library ààbò-láti-ìbẹ̀rẹ̀ tí a ti fara balẹ̀ yàn