# Security Policy (ಕನ್ನಡ)

🌐 **Languages:** 🇺🇸 [English](../../../SECURITY.md) · 🇪🇹 [am](../am/SECURITY.md) · 🇸🇦 [ar](../ar/SECURITY.md) · 🇦🇿 [az](../az/SECURITY.md) · 🇧🇬 [bg](../bg/SECURITY.md) · 🇧🇩 [bn](../bn/SECURITY.md) · 🇧🇦 [bs](../bs/SECURITY.md) · 🇨🇿 [cs](../cs/SECURITY.md) · 🇩🇰 [da](../da/SECURITY.md) · 🇩🇪 [de](../de/SECURITY.md) · 🇬🇷 [el](../el/SECURITY.md) · 🇪🇸 [es](../es/SECURITY.md) · 🇪🇪 [et](../et/SECURITY.md) · 🇮🇷 [fa](../fa/SECURITY.md) · 🇫🇮 [fi](../fi/SECURITY.md) · 🇫🇷 [fr](../fr/SECURITY.md) · 🇮🇪 [ga](../ga/SECURITY.md) · 🇮🇳 [gu](../gu/SECURITY.md) · 🇳🇬 [ha](../ha/SECURITY.md) · 🇮🇱 [he](../he/SECURITY.md) · 🇮🇳 [hi](../hi/SECURITY.md) · 🇭🇷 [hr](../hr/SECURITY.md) · 🇭🇺 [hu](../hu/SECURITY.md) · 🇦🇲 [hy](../hy/SECURITY.md) · 🇮🇩 [id](../id/SECURITY.md) · 🇳🇬 [ig](../ig/SECURITY.md) · 🇮🇹 [it](../it/SECURITY.md) · 🇯🇵 [ja](../ja/SECURITY.md) · 🇬🇪 [ka](../ka/SECURITY.md) · 🇰🇭 [km](../km/SECURITY.md) · 🇰🇷 [ko](../ko/SECURITY.md) · 🇱🇹 [lt](../lt/SECURITY.md) · 🇱🇻 [lv](../lv/SECURITY.md) · 🇮🇳 [ml](../ml/SECURITY.md) · 🇮🇳 [mr](../mr/SECURITY.md) · 🇲🇾 [ms](../ms/SECURITY.md) · 🇲🇹 [mt](../mt/SECURITY.md) · 🇲🇲 [my](../my/SECURITY.md) · 🇳🇵 [ne](../ne/SECURITY.md) · 🇳🇱 [nl](../nl/SECURITY.md) · 🇳🇴 [no](../no/SECURITY.md) · 🇮🇳 [or](../or/SECURITY.md) · 🇮🇳 [pa](../pa/SECURITY.md) · 🇵🇭 [phi](../phi/SECURITY.md) · 🇵🇱 [pl](../pl/SECURITY.md) · 🇵🇹 [pt](../pt/SECURITY.md) · 🇧🇷 [pt-BR](../pt-BR/SECURITY.md) · 🇷🇴 [ro](../ro/SECURITY.md) · 🇷🇺 [ru](../ru/SECURITY.md) · 🇱🇰 [si](../si/SECURITY.md) · 🇸🇰 [sk](../sk/SECURITY.md) · 🇸🇮 [sl](../sl/SECURITY.md) · 🇷🇸 [sr](../sr/SECURITY.md) · 🇸🇪 [sv](../sv/SECURITY.md) · 🇰🇪 [sw](../sw/SECURITY.md) · 🇮🇳 [ta](../ta/SECURITY.md) · 🇮🇳 [te](../te/SECURITY.md) · 🇹🇭 [th](../th/SECURITY.md) · 🇹🇷 [tr](../tr/SECURITY.md) · 🇺🇦 [uk-UA](../uk-UA/SECURITY.md) · 🇵🇰 [ur](../ur/SECURITY.md) · 🇺🇿 [uz](../uz/SECURITY.md) · 🇻🇳 [vi](../vi/SECURITY.md) · 🇳🇬 [yo](../yo/SECURITY.md) · 🇨🇳 [zh-CN](../zh-CN/SECURITY.md) · 🇹🇼 [zh-TW](../zh-TW/SECURITY.md)

---

## ದುರ್ಬಲತೆಗಳನ್ನು ವರದಿ ಮಾಡುವುದು

OmniRoute ನಲ್ಲಿ ನೀವು ಭದ್ರತಾ ದುರ್ಬಲತೆಯನ್ನು ಕಂಡುಹಿಡಿದರೆ, ದಯವಿಟ್ಟು ಅದನ್ನು ಜವಾಬ್ದಾರಿಯುತವಾಗಿ ವರದಿ ಮಾಡಿ:

1. ಸಾರ್ವಜನಿಕ GitHub ಸಮಸ್ಯೆಯನ್ನು **ತೆರೆಯಬೇಡಿ**
2. [GitHub Security Advisories](https://github.com/diegosouzapw/OmniRoute/security/advisories/new) ಬಳಸಿ
3. ಇವುಗಳನ್ನು ಸೇರಿಸಿ: ವಿವರಣೆ, ಮರುಸೃಷ್ಟಿಸುವ ಹಂತಗಳು ಮತ್ತು ಸಂಭಾವ್ಯ ಪರಿಣಾಮ

## ಪ್ರತಿಕ್ರಿಯೆಯ ಕಾಲಮಿತಿ

| ಹಂತ                      | ಗುರಿ                           |
| ------------------------ | ------------------------------ |
| ಸ್ವೀಕೃತಿಯ ದೃಢೀಕರಣ        | 48 ಗಂಟೆಗಳು                     |
| ವರ್ಗೀಕರಣ ಮತ್ತು ಮೌಲ್ಯಮಾಪನ | 5 ವ್ಯವಹಾರಿಕ ದಿನಗಳು             |
| ಪ್ಯಾಚ್ ಬಿಡುಗಡೆ           | 14 ವ್ಯವಹಾರಿಕ ದಿನಗಳು (ನಿರ್ಣಾಯಕ) |

## ಬೆಂಬಲಿತ ಆವೃತ್ತಿಗಳು

| ಆವೃತ್ತಿ | ಬೆಂಬಲದ ಸ್ಥಿತಿ                                       |
| ------- | --------------------------------------------------- |
| 3.9.x   | 🗓️ ಯೋಜಿಸಲಾಗಿದೆ — LTS ಶಾಖೆ (`stable/v3`), ಕೆಳಗೆ ನೋಡಿ |
| 3.8.x   | ✅ ಸಕ್ರಿಯ                                           |
| 3.7.x   | ✅ ಭದ್ರತೆ                                           |
| < 3.7.0 | ❌ ಬೆಂಬಲಿತವಲ್ಲ                                      |

## LTS ಬೆಂಬಲ ಅವಧಿ (v3.9.x)

3.8.59 ನಂತರದ ಮುಂದಿನ ಆವೃತ್ತಿಯು **3.9.0** ಆಗಿದ್ದು, ಇದು
`stable/v3` ಶಾಖೆಯಲ್ಲಿ ದೀರ್ಘಕಾಲೀನ ಬೆಂಬಲದ ಶಾಖೆಯನ್ನು ತೆರೆಯುತ್ತದೆ ([`ROADMAP.md`](ROADMAP.md) → "ಹಂತ 3 — v3.9.0 LTS" ನೋಡಿ).

- **`stable/v3` ಸ್ವೀಕರಿಸುವುದು:** ದೋಷ ಪರಿಹಾರಗಳು, ಭದ್ರತಾ ಪ್ಯಾಚ್ಗಳು ಮತ್ತು ಪೂರೈಕೆದಾರರ ನವೀಕರಣಗಳು. ಹೊಸ
  ವೈಶಿಷ್ಟ್ಯಗಳು v4 ಚಾನೆಲ್ಗೆ ಹೋಗುತ್ತವೆ; LTS ಶಾಖೆಯು ಸ್ಥಿರತೆಗೆ ಮೊದಲ ಆದ್ಯತೆ ನೀಡುತ್ತದೆ. `npm install omniroute`
  (`latest` dist-tag) ಸಂಪೂರ್ಣ v4 ಚಕ್ರದ ಅವಧಿಯಲ್ಲಿ v3 ನಲ್ಲಿಯೇ ಉಳಿಯುತ್ತದೆ.
- **ಅವಧಿಯ ಉದ್ದ:** `<T-GAP-3: ಮಾಲೀಕರ ನಿರ್ಧಾರ ಬಾಕಿಯಿದೆ — ROADMAP.md ನೋಡಿ>`. v4.0 GA ನಂತರದ
  ಅವಧಿಯ ಉದ್ದವನ್ನು (`latest` v4 ಗೆ ಬದಲಾದಾಗ) **ಇನ್ನೂ ನಿರ್ಧರಿಸಲಾಗಿಲ್ಲ**; ನಿರ್ವಹಣಾಕಾರರು ಅದನ್ನು
  ಘೋಷಿಸಿದಾಗ ಈ ವಿಭಾಗವನ್ನು ನವೀಕರಿಸಲಾಗುತ್ತದೆ. ಅಲ್ಲಿಯವರೆಗೆ, ಅಂತಿಮ ದಿನಾಂಕವನ್ನು ಊಹಿಸಬೇಡಿ.
- **LTS ಶಾಖೆಯಲ್ಲಿನ ದುರ್ಬಲತೆಯನ್ನು ವರದಿ ಮಾಡುವುದು:** ಇತರ ಯಾವುದೇ ಆವೃತ್ತಿಗೆ ಬಳಸುವ ಅದೇ ಚಾನೆಲ್ —
  ಖಾಸಗಿ [GitHub Security Advisory](https://github.com/diegosouzapw/OmniRoute/security/advisories/new),
  ಸಾರ್ವಜನಿಕ ಸಮಸ್ಯೆಯಲ್ಲ. ನೀವು ಪರೀಕ್ಷಿಸಿದ ಆವೃತ್ತಿಯನ್ನು ತಿಳಿಸಿ (ಉದಾಹರಣೆಗೆ `3.9.2`); ಪರಿಹಾರಗಳು
  `stable/v3` ಗೆ ಸೇರುತ್ತವೆ ಮತ್ತು v4 ಗೆ ಫಾರ್ವರ್ಡ್-ಪೋರ್ಟ್ ಮಾಡಲಾಗುತ್ತವೆ.
- **LTS ವಿಭಜನೆಯಲ್ಲಿನ ಭದ್ರತಾ ಮೂಲಮಟ್ಟ:** ಮಾಪನ ಮಾಡಿದ ಸ್ಕ್ಯಾನರ್ ಸ್ಥಿತಿ, ರೂಟ್-ಗಾರ್ಡ್ ಮತ್ತು
  ಸಾರ್ವಜನಿಕ ಕ್ರೆಡೆನ್ಶಿಯಲ್ ಪುರಾವೆಗಳನ್ನು
  [`docs/security/LTS_SECURITY_BASELINE.md`](docs/security/LTS_SECURITY_BASELINE.md) ನಲ್ಲಿ ದಾಖಲಿಸಲಾಗಿದೆ.

---

## ಭದ್ರತಾ ವಾಸ್ತುಶಿಲ್ಪ

OmniRoute ಬಹು-ಪದರದ ಭದ್ರತಾ ಮಾದರಿಯನ್ನು ಅನುಷ್ಠಾನಗೊಳಿಸುತ್ತದೆ:

```
ವಿನಂತಿ → CORS → Authz ಪೈಪ್ಲೈನ್ (ವರ್ಗೀಕರಿಸು → ನೀತಿಗಳು → ಜಾರಿಗೊಳಿಸು)
       → ರಕ್ಷಣಾ ಮಿತಿಗಳು (PII ಮರೆಮಾಚುವಿಕೆ, ಪ್ರಾಂಪ್ಟ್ ಇಂಜೆಕ್ಷನ್, ವಿಷನ್ ಬ್ರಿಡ್ಜ್)
       → ದರ ಮಿತಿಗೊಳಿಸುವಿಕೆ → ಸರ್ಕ್ಯೂಟ್ ಬ್ರೇಕರ್ → ಕೂಲ್ಡೌನ್ → ಮಾದರಿ ಲಾಕ್ಔಟ್ → ಪೂರೈಕೆದಾರ
```

### 🔐 ದೃಢೀಕರಣ ಮತ್ತು ಅಧಿಕಾರ ನಿರ್ವಹಣೆ

| ವೈಶಿಷ್ಟ್ಯ                  | ಅನುಷ್ಠಾನ                                                                                                                                                         |
| -------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **ಡ್ಯಾಶ್ಬೋರ್ಡ್ ಲಾಗಿನ್**    | JWT ಟೋಕನ್ಗಳೊಂದಿಗಿನ ಪಾಸ್ವರ್ಡ್ ಆಧಾರಿತ ದೃಢೀಕರಣ (HttpOnly ಕುಕಿಗಳು)                                                                                                   |
| **API ಕೀ ದೃಢೀಕರಣ**         | CRC ಮೌಲ್ಯೀಕರಣದೊಂದಿಗಿನ HMAC-ಸಹಿ ಮಾಡಿದ ಕೀಗಳು                                                                                                                       |
| **OAuth 2.0 + PKCE**       | ಪೂರೈಕೆದಾರ-ನಿರ್ದಿಷ್ಟ ಬ್ರೌಸರ್/ಸಾಧನ OAuth, ಬೆಂಬಲವಿರುವಲ್ಲಿ PKCE ಬಳಸುತ್ತದೆ; ಆಮದು-ಮಾತ್ರದ Devin ಕ್ರೆಡೆನ್ಶಿಯಲ್ಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ನಿರ್ವಹಿಸಲಾಗುತ್ತದೆ.                     |
| **ಟೋಕನ್ ರಿಫ್ರೆಶ್**         | ಅವಧಿ ಮುಗಿಯುವ ಮೊದಲು ಸ್ವಯಂಚಾಲಿತ OAuth ಟೋಕನ್ ರಿಫ್ರೆಶ್                                                                                                               |
| **ಸುರಕ್ಷಿತ ಕುಕಿಗಳು**       | HTTPS ಪರಿಸರಗಳಿಗಾಗಿ `AUTH_COOKIE_SECURE=true`                                                                                                                     |
| **Authz ಪೈಪ್ಲೈನ್**         | ರೂಟ್ ವರ್ಗೀಕರಣ (PUBLIC / CLIENT_API / MANAGEMENT) — `docs/architecture/AUTHZ_GUIDE.md` ನೋಡಿ                                                                       |
| **ರೂಟ್ ಗಾರ್ಡ್ ಹಂತಗಳು**     | ನಿರ್ವಹಣಾ ರೂಟ್ಗಳಿಗಾಗಿ 3-ಹಂತದ ಮಾದರಿ (LOCAL_ONLY / ALWAYS_PROTECTED / MANAGEMENT) — `docs/security/ROUTE_GUARD_TIERS.md` ನೋಡಿ                                       |
| **ನಿರ್ವಹಣೆ-ವ್ಯಾಪ್ತಿಯ MCP** | `manage` ವ್ಯಾಪ್ತಿಯ API ಕೀಗಳಿಂದ ರಕ್ಷಿಸಲಾದ ದೂರಸ್ಥ `/api/mcp/*` ಪ್ರವೇಶ; `/api/cli-tools/runtime/*` ಕಟ್ಟುನಿಟ್ಟಾದ ಲೂಪ್ಬ್ಯಾಕ್ ಆಗಿಯೇ ಉಳಿಯುತ್ತದೆ. ROUTE_GUARD_TIERS ನೋಡಿ |
| **MCP ವ್ಯಾಪ್ತಿಗಳು**        | 32 ಸೂಕ್ಷ್ಮ-ವಿಭಜಿತ ವ್ಯಾಪ್ತಿಗಳು (read:health, write:combos, execute:completions, ಇತ್ಯಾದಿ) — `docs/frameworks/MCP-SERVER.md` ನೋಡಿ                                   |

### 🛡️ ಸಂಗ್ರಹಿತ ದತ್ತಾಂಶದ ಗೂಢಲಿಪೀಕರಣ

SQLite ನಲ್ಲಿ ಸಂಗ್ರಹಿಸಲಾದ ಎಲ್ಲ ಸೂಕ್ಷ್ಮ ದತ್ತಾಂಶವನ್ನು scrypt ಕೀ ವ್ಯುತ್ಪತ್ತಿಯೊಂದಿಗೆ **AES-256-GCM** ಬಳಸಿ ಗೂಢಲಿಪೀಕರಿಸಲಾಗುತ್ತದೆ:

- API ಕೀಗಳು, ಪ್ರವೇಶ ಟೋಕನ್ಗಳು, ರಿಫ್ರೆಶ್ ಟೋಕನ್ಗಳು ಮತ್ತು ID ಟೋಕನ್ಗಳು
- ಆವೃತ್ತಿಗೊಳಿಸಿದ ಸ್ವರೂಪ: `enc:v1:<iv>:<ciphertext>:<authTag>`
- `STORAGE_ENCRYPTION_KEY` ಹೊಂದಿಸದಿದ್ದಾಗ ಪಾಸ್ಥ್ರೂ ಮೋಡ್ (ಸರಳ ಪಠ್ಯ)

```bash
# ಗೂಢಲಿಪೀಕರಣ ಕೀಯನ್ನು ರಚಿಸಿ:
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)
```

### 🛡️ ರಕ್ಷಣಾ ಮಿತಿಗಳ ಫ್ರೇಮ್ವರ್ಕ್

OmniRoute ಆದ್ಯತೆಯ ಪ್ರಕಾರ ಕ್ರಮಗೊಳಿಸಲಾದ 3 ಅಂತರ್ನಿರ್ಮಿತ ರಕ್ಷಣಾ ಮಿತಿಗಳೊಂದಿಗೆ ಹಾಟ್-ರೀಲೋಡ್ ಮಾಡಬಹುದಾದ **ರಕ್ಷಣಾ ಮಿತಿಗಳ ರಿಜಿಸ್ಟ್ರಿ**ಯನ್ನು (`src/lib/guardrails/`) ಒದಗಿಸುತ್ತದೆ:

| ರಕ್ಷಣಾ ಮಿತಿ        | ಆದ್ಯತೆ | ಉದ್ದೇಶ                                                                                          |
| ------------------ | ------ | ----------------------------------------------------------------------------------------------- |
| `vision-bridge`    | 5      | ಚಿತ್ರ-ಅರಿವಿನ ವಿವರಣೆಗಳೊಂದಿಗೆ ವಿಷನ್-ರಹಿತ ಮಾದರಿಗಳನ್ನು ಸಂಪರ್ಕಿಸುತ್ತದೆ; ಚಿತ್ರದ URL ಗಳಿಗೆ SSRF ರಕ್ಷಣೆ |
| `pii-masker`       | 10     | ಕರೆಗೂ ಮುನ್ನ+ನಂತರ PII ಮರೆಮಾಡುವಿಕೆ (ಇಮೇಲ್ಗಳು, ಫೋನ್, CPF, CNPJ, ಕ್ರೆಡಿಟ್ ಕಾರ್ಡ್ಗಳು, SSN)           |
| `prompt-injection` | 20     | ಅತಿಕ್ರಮಣ/ಪಾತ್ರ-ಅಪಹರಣ/jailbreak/ಸೋರಿಕೆ ಮಾದರಿಗಳನ್ನು ಪತ್ತೆ ಮಾಡುತ್ತದೆ                               |

ಕಸ್ಟಮ್ ರಕ್ಷಣಾ ಮಿತಿಗಳು `registerGuardrail(new MyGuardrail())` ಮೂಲಕ ನೋಂದಾಯಿಸಲ್ಪಡುತ್ತವೆ. ಮಾದರಿಯು fail-open ಆಗಿದೆ (ವಿನಾಯಿತಿಗಳು ಎಂದಿಗೂ ಸಂಚಾರವನ್ನು ನಿರ್ಬಂಧಿಸುವುದಿಲ್ಲ). ಪ್ರತಿ ವಿನಂತಿಗೆ `x-omniroute-disabled-guardrails` ಹೆಡರ್ ಮೂಲಕ ಹೊರಗುಳಿಯಬಹುದು. → [`docs/security/GUARDRAILS.md`](docs/security/GUARDRAILS.md) ನೋಡಿ.

### 🧠 ಪ್ರಾಂಪ್ಟ್ ಇಂಜೆಕ್ಷನ್ ರಕ್ಷಣೆ

LLM ವಿನಂತಿಗಳಲ್ಲಿನ ಪ್ರಾಂಪ್ಟ್ ಇಂಜೆಕ್ಷನ್ ಮಾದರಿಗಳನ್ನು ಪತ್ತೆಹಚ್ಚುವ ಅತ್ಯುತ್ತಮ-ಪ್ರಯತ್ನದ ಹ್ಯೂರಿಸ್ಟಿಕ್ ಮಿಡಲ್ವೇರ್.
**ಇದು ಸಂಪೂರ್ಣ ಪ್ರಾಂಪ್ಟ್-ಇಂಜೆಕ್ಷನ್ ಫೈರ್ವಾಲ್ ಅಲ್ಲ** — ತಪ್ಪು ಧನಾತ್ಮಕಗಳನ್ನು (ನಿರುಪದ್ರವಿ
ಪರ್ಸೋನಾ/RPG ಪ್ರಾಂಪ್ಟ್ಗಳು) ಮತ್ತು ತಪ್ಪು ಋಣಾತ್ಮಕಗಳನ್ನು (ಲೀಟ್ಸ್ಪೀಕ್, ಅಂತರಗಳು, ಇಂಗ್ಲಿಷೇತರ ಮಾದರಿಗಳು) ಉಂಟುಮಾಡಬಹುದು.

| ಮಾದರಿಯ ಪ್ರಕಾರ                | ತೀವ್ರತೆ | ಉದಾಹರಣೆ                                           |
| ---------------------------- | ------- | ------------------------------------------------- |
| ಸಿಸ್ಟಮ್ ಅತಿಕ್ರಮಣ             | ಅಧಿಕ    | "ಹಿಂದಿನ ಎಲ್ಲಾ ಸೂಚನೆಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸಿ"            |
| ಪಾತ್ರ ಅಪಹರಣ                  | ಮಧ್ಯಮ   | "ನೀವು ಈಗ DAN, ನೀವು ಏನು ಬೇಕಾದರೂ ಮಾಡಬಹುದು"          |
| ಡಿಲಿಮಿಟರ್ ಇಂಜೆಕ್ಷನ್          | ಅಧಿಕ    | ಸಂದರ್ಭದ ಗಡಿಗಳನ್ನು ಮುರಿಯಲು ಎನ್ಕೋಡ್ ಮಾಡಿದ ವಿಭಾಜಕಗಳು |
| DAN/ಜೈಲ್ಬ್ರೇಕ್               | ಮಧ್ಯಮ   | ತಿಳಿದಿರುವ ಜೈಲ್ಬ್ರೇಕ್ ಪ್ರಾಂಪ್ಟ್ ಮಾದರಿಗಳು           |
| ಸೂಚನೆ ಸೋರಿಕೆ                 | ಅಧಿಕ    | "ನಿಮ್ಮ ಸಿಸ್ಟಮ್ ಪ್ರಾಂಪ್ಟ್ ಅನ್ನು ನನಗೆ ತೋರಿಸಿ"       |
| ಎನ್ಕೋಡಿಂಗ್ ತಪ್ಪಿಸಿಕೊಳ್ಳುವಿಕೆ | ಮಧ್ಯಮ   | base64/rot13/hex ಡಿಕೋಡ್ + ಸೂಚನಾ ಕೀವರ್ಡ್ಗಳು        |

`block` ಮೋಡ್ನಲ್ಲಿ **ಅಧಿಕ** ತೀವ್ರತೆಯ ಪತ್ತೆಗಳನ್ನು ಮಾತ್ರ ನಿರ್ಬಂಧಿಸಲಾಗುತ್ತದೆ. ಮಧ್ಯಮ-ತೀವ್ರತೆಯ
ಕುಟುಂಬಗಳನ್ನು ಲಾಗ್ ಮಾಡಲಾಗುತ್ತದೆ, ಆದರೆ `sanitizeRequest` ಅವುಗಳನ್ನು ಎಂದಿಗೂ ನಿರ್ಬಂಧಿಸುವುದಿಲ್ಲ.

ಡ್ಯಾಶ್ಬೋರ್ಡ್ (Settings → Security) ಅಥವಾ `.env` ಮೂಲಕ ಕಾನ್ಫಿಗರ್ ಮಾಡಿ:

```env
INPUT_SANITIZER_ENABLED=true
INPUT_SANITIZER_MODE=block    # warn | block (ಇಂಜೆಕ್ಷನ್ ನೀತಿ; ಹಳೆಯ "redact" ಇಂಜೆಕ್ಷನ್ ಪಠ್ಯವನ್ನು ತೆಗೆದುಹಾಕುವುದಿಲ್ಲ)
INPUT_SANITIZER_BLOCK_THRESHOLD=high  # high (ಡೀಫಾಲ್ಟ್) | medium | low — block ಮೋಡ್ನಲ್ಲಿ ಈ ಮಟ್ಟದ ಅಥವಾ ಅದಕ್ಕಿಂತ ಹೆಚ್ಚಿನ ತೀವ್ರತೆಗಳನ್ನು ನಿರ್ಬಂಧಿಸಲಾಗುತ್ತದೆ
```

### 🔒 PII ಮರೆಮಾಚುವಿಕೆ

ವೈಯಕ್ತಿಕವಾಗಿ ಗುರುತಿಸಬಹುದಾದ ಮಾಹಿತಿಯ ಸ್ವಯಂಚಾಲಿತ ಪತ್ತೆ ಮತ್ತು ಐಚ್ಛಿಕ ಮರೆಮಾಚುವಿಕೆ:

| PII ಪ್ರಕಾರ      | ಮಾದರಿ                 | ಬದಲಿ               |
| --------------- | --------------------- | ------------------ |
| ಇಮೇಲ್           | `user@domain.com`     | `[EMAIL_REDACTED]` |
| CPF (ಬ್ರೆಜಿಲ್)  | `123.456.789-00`      | `[CPF_REDACTED]`   |
| CNPJ (ಬ್ರೆಜಿಲ್) | `12.345.678/0001-00`  | `[CNPJ_REDACTED]`  |
| ಕ್ರೆಡಿಟ್ ಕಾರ್ಡ್ | `4111-1111-1111-1111` | `[CC_REDACTED]`    |
| ಫೋನ್            | `+55 11 99999-9999`   | `[PHONE_REDACTED]` |
| SSN (US)        | `123-45-6789`         | `[SSN_REDACTED]`   |

```env
PII_REDACTION_ENABLED=true   # ವಿನಂತಿಯ PII ಮರುಬರಹ; INPUT_SANITIZER_MODEನಿಂದ ಸ್ವತಂತ್ರ
PII_RESPONSE_SANITIZATION=true  # ಐಚ್ಛಿಕ: ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಹಿಂತಿರುಗಿಸಲಾದ ಪೂರೈಕೆದಾರರ ಪ್ರತಿಕ್ರಿಯೆಗಳಲ್ಲಿನ PII ಅನ್ನು ಮರೆಮಾಚಿ
```

### 🌐 ನೆಟ್ವರ್ಕ್ ಭದ್ರತೆ

| ವೈಶಿಷ್ಟ್ಯ               | ವಿವರಣೆ                                                                            |
| ----------------------- | --------------------------------------------------------------------------------- |
| **CORS**                | ಸ್ಪಷ್ಟವಾದ ಕ್ರಾಸ್-ಒರಿಜಿನ್ ಅನುಮತಿಪಟ್ಟಿ (`CORS_ALLOWED_ORIGINS`; ಹಳೆಯ `CORS_ORIGIN`) |
| **IP ಫಿಲ್ಟರಿಂಗ್**       | ಡ್ಯಾಶ್ಬೋರ್ಡ್ನಲ್ಲಿನ ಅನುಮತಿಪಟ್ಟಿ/ನಿರ್ಬಂಧಪಟ್ಟಿ IP ವ್ಯಾಪ್ತಿಗಳು                        |
| **ದರ ಮಿತಿಗೊಳಿಸುವಿಕೆ**   | ಸ್ವಯಂಚಾಲಿತ ಬ್ಯಾಕ್ಆಫ್ನೊಂದಿಗೆ ಪ್ರತಿ ಪೂರೈಕೆದಾರರ ದರ ಮಿತಿಗಳು                           |
| **ಆಂಟಿ-ಥಂಡರಿಂಗ್ ಹರ್ಡ್** | ಮ್ಯೂಟೆಕ್ಸ್ + ಪ್ರತಿ-ಸಂಪರ್ಕ ಲಾಕಿಂಗ್ ಅನುಕ್ರಮವಾದ 502 ದೋಷಗಳನ್ನು ತಡೆಯುತ್ತದೆ             |
| **TLS ಫಿಂಗರ್ಪ್ರಿಂಟ್**   | ಬಾಟ್ ಪತ್ತೆಯನ್ನು ಕಡಿಮೆ ಮಾಡಲು ಬ್ರೌಸರ್ನಂತಹ TLS ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಸ್ಪೂಫಿಂಗ್               |
| **CLI ಫಿಂಗರ್ಪ್ರಿಂಟ್**   | ಸ್ಥಳೀಯ CLI ಸಿಗ್ನೇಚರ್ಗಳಿಗೆ ಹೊಂದಿಸಲು ಪ್ರತಿ ಪೂರೈಕೆದಾರರ ಹೆಡರ್/ಬಾಡಿ ಕ್ರಮ               |

### 🔌 ಸ್ಥಿತಿಸ್ಥಾಪಕತೆ ಮತ್ತು ಲಭ್ಯತೆ

| ವೈಶಿಷ್ಟ್ಯ               | ವಿವರಣೆ                                                                                       |
| ----------------------- | -------------------------------------------------------------------------------------------- |
| **ಸರ್ಕ್ಯೂಟ್ ಬ್ರೇಕರ್**   | ಪ್ರತಿ ಪೂರೈಕೆದಾರರಿಗೆ 3-ಸ್ಥಿತಿ (ಮುಚ್ಚಿದ → ತೆರೆದ → ಅರ್ಧ-ತೆರೆದ), SQLiteನಲ್ಲಿ ಶಾಶ್ವತವಾಗಿ ಸಂಗ್ರಹಿತ |
| **ವಿನಂತಿ ಐಡೆಂಪೊಟೆನ್ಸಿ** | ನಕಲಿ ವಿನಂತಿಗಳಿಗೆ 5-ಸೆಕೆಂಡ್ ಡೀಡ್ಯೂಪ್ ಅವಧಿ                                                     |
| **ಘಾತೀಯ ಬ್ಯಾಕ್ಆಫ್**     | ಹೆಚ್ಚುತ್ತಿರುವ ವಿಳಂಬಗಳೊಂದಿಗೆ ಸ್ವಯಂಚಾಲಿತ ಮರುಪ್ರಯತ್ನ                                            |
| **ಆರೋಗ್ಯ ಡ್ಯಾಶ್ಬೋರ್ಡ್** | ಪೂರೈಕೆದಾರರ ಆರೋಗ್ಯದ ನೈಜ-ಸಮಯ ಮೇಲ್ವಿಚಾರಣೆ                                                       |

### 📋 ಅನುಸರಣೆ

| ವೈಶಿಷ್ಟ್ಯ               | ವಿವರಣೆ                                                                                   |
| ----------------------- | ---------------------------------------------------------------------------------------- |
| **ಲಾಗ್ ಉಳಿಕೆ**          | `CALL_LOG_RETENTION_DAYS` ನಂತರ ಸ್ವಯಂಚಾಲಿತ ಸ್ವಚ್ಛಗೊಳಿಸುವಿಕೆ                               |
| **ಲಾಗ್ ಮಾಡದಿರಲು ಆಯ್ಕೆ** | ಪ್ರತಿ API ಕೀಲಿಯ `noLog` ಫ್ಲ್ಯಾಗ್ ವಿನಂತಿ ಲಾಗಿಂಗ್ ಅನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುತ್ತದೆ               |
| **ಆಡಿಟ್ ಲಾಗ್**          | `audit_log` ಕೋಷ್ಟಕದಲ್ಲಿ ಆಡಳಿತಾತ್ಮಕ ಕ್ರಿಯೆಗಳನ್ನು ಟ್ರ್ಯಾಕ್ ಮಾಡಲಾಗುತ್ತದೆ                    |
| **MCP ಆಡಿಟ್**           | ಎಲ್ಲಾ MCP ಟೂಲ್ ಕರೆಗಳಿಗೆ SQLite-ಆಧಾರಿತ ಆಡಿಟ್ ಲಾಗಿಂಗ್                                      |
| **Zod ಮೌಲ್ಯೀಕರಣ**       | ಮಾಡ್ಯೂಲ್ ಲೋಡ್ ಸಮಯದಲ್ಲಿ ಎಲ್ಲಾ API ಇನ್ಪುಟ್ಗಳನ್ನು Zod v4 ಸ್ಕೀಮಾಗಳೊಂದಿಗೆ ಮೌಲ್ಯೀಕರಿಸಲಾಗುತ್ತದೆ |

---

## ಅಗತ್ಯವಿರುವ ಪರಿಸರ ಚರಾಂಶಗಳು

ಸರ್ವರ್ ಅನ್ನು ಪ್ರಾರಂಭಿಸುವ ಮೊದಲು ಎಲ್ಲಾ ರಹಸ್ಯಗಳನ್ನು ಹೊಂದಿಸಬೇಕು. ಅವು ಇಲ್ಲದಿದ್ದರೆ ಅಥವಾ ದುರ್ಬಲವಾಗಿದ್ದರೆ ಸರ್ವರ್ **ತಕ್ಷಣವೇ ವಿಫಲಗೊಳ್ಳುತ್ತದೆ**.

```bash
# ಅಗತ್ಯ — ಇವುಗಳಿಲ್ಲದೆ ಸರ್ವರ್ ಪ್ರಾರಂಭವಾಗುವುದಿಲ್ಲ:
JWT_SECRET=$(openssl rand -base64 48)     # ಕನಿಷ್ಠ 32 ಅಕ್ಷರಗಳು
API_KEY_SECRET=$(openssl rand -hex 32)    # ಕನಿಷ್ಠ 16 ಅಕ್ಷರಗಳು

# ಶಿಫಾರಸು ಮಾಡಲಾಗಿದೆ — ಸಂಗ್ರಹಿತ ಸ್ಥಿತಿಯಲ್ಲಿರುವ ಡೇಟಾದ ಗೂಢಲಿಪೀಕರಣವನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುತ್ತದೆ:
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)
```

`changeme`, `secret`, ಅಥವಾ `password` ನಂತಹ ದುರ್ಬಲವೆಂದು ತಿಳಿದಿರುವ ಮೌಲ್ಯಗಳನ್ನು ಸರ್ವರ್ ಸಕ್ರಿಯವಾಗಿ ತಿರಸ್ಕರಿಸುತ್ತದೆ.

---

## Docker ಭದ್ರತೆ

- ಪ್ರೊಡಕ್ಷನ್ನಲ್ಲಿ root ಅಲ್ಲದ ಬಳಕೆದಾರರನ್ನು ಬಳಸಿ
- ರಹಸ್ಯಗಳನ್ನು ಓದಲು-ಮಾತ್ರದ ವಾಲ್ಯೂಮ್ಗಳಾಗಿ ಮೌಂಟ್ ಮಾಡಿ
- `.env` ಫೈಲ್ಗಳನ್ನು ಎಂದಿಗೂ Docker ಇಮೇಜ್ಗಳಿಗೆ ನಕಲಿಸಬೇಡಿ
- ಸೂಕ್ಷ್ಮ ಫೈಲ್ಗಳನ್ನು ಹೊರಗಿಡಲು `.dockerignore` ಬಳಸಿ
- HTTPS ಹಿಂದೆ ಬಳಸುವಾಗ `AUTH_COOKIE_SECURE=true` ಹೊಂದಿಸಿ

```bash
docker run -d \
  --name omniroute \
  --restart unless-stopped \
  --read-only \
  -p 20128:20128 \
  -v omniroute-data:/app/data \
  -e JWT_SECRET="$(openssl rand -base64 48)" \
  -e API_KEY_SECRET="$(openssl rand -hex 32)" \
  -e STORAGE_ENCRYPTION_KEY="$(openssl rand -hex 32)" \
  diegosouzapw/omniroute:latest
```

---

## ಅವಲಂಬನೆಗಳು

- `npm audit` ಅನ್ನು ನಿಯಮಿತವಾಗಿ ಚಲಾಯಿಸಿ (`npm run audit:deps` ಮುಖ್ಯ + electron ಅನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ)
- ಅವಲಂಬನೆಗಳನ್ನು ನವೀಕೃತವಾಗಿರಿಸಿ
- pre-commit ಪರಿಶೀಲನೆಗಳಿಗಾಗಿ ಪ್ರಾಜೆಕ್ಟ್ `husky` + `lint-staged` ಅನ್ನು ಬಳಸುತ್ತದೆ (lint-staged + check-docs-sync + check:any-budget:t11)
- ಪ್ರತಿ pushನಲ್ಲೂ CI ಪೈಪ್ಲೈನ್ ESLint ಭದ್ರತಾ ನಿಯಮಗಳನ್ನು ಚಲಾಯಿಸುತ್ತದೆ (`no-eval`, `no-implied-eval`, `no-new-func` = ದೋಷ)
- Zod ಮೂಲಕ ಮಾಡ್ಯೂಲ್ ಲೋಡ್ ಆಗುವಾಗಲೇ ಪ್ರೊವೈಡರ್ ಸ್ಥಿರಾಂಕಗಳನ್ನು ಮೌಲ್ಯೀಕರಿಸಲಾಗುತ್ತದೆ (`src/shared/validation/schemas.ts`)
- ಪೂರ್ವನಿಯೋಜಿತವಾಗಿಯೇ ಸುರಕ್ಷಿತವಾಗಿರುವ ಲೈಬ್ರರಿಗಳನ್ನು ಬಳಸಲಾಗಿದೆ: `dompurify` / `isomorphic-dompurify` (XSS), `jose` (JWT), `better-sqlite3` (ಪ್ಯಾರಾಮೀಟರೀಕೃತ ಕ್ವೆರಿಗಳಿಂದಾಗಿ SQLi ಅಪಾಯವಿಲ್ಲ), `bcryptjs` (ಪಾಸ್ವರ್ಡ್ ಹ್ಯಾಶಿಂಗ್)

## ಕಠಿಣ ಭದ್ರತಾ ನಿಯಮಗಳು

ಈ ನಿಯಮಗಳನ್ನು ಟೂಲಿಂಗ್ ಮತ್ತು ಪರಿಶೀಲಕರು ಜಾರಿಗೊಳಿಸುತ್ತಾರೆ:

1. **ರಹಸ್ಯಗಳನ್ನು ಎಂದಿಗೂ commit ಮಾಡಬೇಡಿ** — `.env` ಅನ್ನು gitignore ಮಾಡಲಾಗಿದೆ; `.env.example` ಟೆಂಪ್ಲೇಟ್ ಆಗಿದೆ (ಲಿಟರಲ್ಗಳಿಲ್ಲ, ಕಾಮೆಂಟ್ಗಳು ಮಾತ್ರ — ಕೆಳಗಿನ PUBLIC_CREDS.md ನೋಡಿ)
2. **`eval()`, `new Function()`, ಅಥವಾ ಸೂಚಿತ eval ಅನ್ನು ಎಂದಿಗೂ ಬಳಸಬೇಡಿ** — ESLint ಇದನ್ನು ಜಾರಿಗೊಳಿಸುತ್ತದೆ
3. **ಸ್ಪಷ್ಟ ನಿರ್ವಾಹಕ ಅನುಮೋದನೆಯಿಲ್ಲದೆ Husky hookಗಳನ್ನು ಎಂದಿಗೂ ಬೈಪಾಸ್ ಮಾಡಬೇಡಿ** (`--no-verify`, `--no-gpg-sign`)
4. **routeಗಳಲ್ಲಿ ನೇರ SQL ಅನ್ನು ಎಂದಿಗೂ ಬರೆಯಬೇಡಿ** — ಯಾವಾಗಲೂ `src/lib/db/` ಮೂಲಕ ಹೋಗಿ (ಪ್ಯಾರಾಮೀಟರೀಕೃತ)
5. **Zod ಮೂಲಕ ಇನ್ಪುಟ್ಗಳನ್ನು ಯಾವಾಗಲೂ ಮೌಲ್ಯೀಕರಿಸಿ** — `src/shared/validation/schemas.ts`
6. **upstream headerಗಳನ್ನು ಯಾವಾಗಲೂ ಸ್ವಚ್ಛಗೊಳಿಸಿ** — `src/shared/constants/upstreamHeaders.ts` ನಲ್ಲಿರುವ denylist
7. **ಸಂಗ್ರಹಿತ ಸ್ಥಿತಿಯಲ್ಲಿರುವ ರುಜುವಾತುಗಳನ್ನು ಗೂಢಲಿಪೀಕರಿಸಿ** — `src/lib/db/encryption.ts` ಮೂಲಕ AES-256-GCM
8. **`resolvePublicCred()` ಮೂಲಕ ಸಾರ್ವಜನಿಕ upstream OAuth ಗುರುತಿಸುವಿಕೆಗಳು** — `AIza…` / `GOCSPX-…` / `…apps.googleusercontent.com` ಲಿಟರಲ್ಗಳನ್ನು sourceನಲ್ಲಿ ಎಂದಿಗೂ ಎಂಬೆಡ್ ಮಾಡಬೇಡಿ. [`docs/security/PUBLIC_CREDS.md`](docs/security/PUBLIC_CREDS.md) ನೋಡಿ.
9. **`buildErrorBody()` / `sanitizeErrorMessage()` ಮೂಲಕ ದೋಷ ಪ್ರತಿಕ್ರಿಯೆಗಳು** — HTTP / SSE / executor / MCP ಪ್ರತಿಕ್ರಿಯೆ bodyಗಳಲ್ಲಿ ಕಚ್ಚಾ `err.stack` / `err.message` ಅನ್ನು ಎಂದಿಗೂ ಸೇರಿಸಬೇಡಿ. [`docs/security/ERROR_SANITIZATION.md`](docs/security/ERROR_SANITIZATION.md) ನೋಡಿ.
10. **`env` ಆಯ್ಕೆಯ ಮೂಲಕ `exec()` / `spawn()` ರನ್ಟೈಮ್ ಮೌಲ್ಯಗಳು** — ಬಾಹ್ಯ pathಗಳು ಅಥವಾ ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲದ ಮೌಲ್ಯಗಳನ್ನು shell ಮೂಲಕ ರವಾನಿಸಲಾದ scriptಗಳಿಗೆ ಎಂದಿಗೂ string-interpolate ಮಾಡಬೇಡಿ. ಉಲ್ಲೇಖ: `src/mitm/cert/install.ts::updateNssDatabases`.
11. **ಪೂರ್ವನಿಯೋಜಿತವಾಗಿಯೇ ಸುರಕ್ಷಿತವಾಗಿರುವ ಲೈಬ್ರರಿಗಳಿಗೆ ಆದ್ಯತೆ ನೀಡಿ** — [tldrsec/awesome-secure-defaults](https://github.com/tldrsec/awesome-secure-defaults) ನೋಡಿ (Helmet.js, DOMPurify, ssrf-req-filter, safe-regex, Google Tink). ನಿಮ್ಮದೇ ಪರಿಹಾರವನ್ನು ರೂಪಿಸುವ ಮೊದಲು ಅವುಗಳನ್ನು ಬಳಸಿ.

## ಪೂರೈಕೆ-ಸರಪಳಿ ಸ್ಕ್ಯಾನರ್ನ ಪತ್ತೆಗಳು (Socket.dev / Snyk / ಅಂತಹುದೇ ಪರಿಕರಗಳು)

> **ವ್ಯಾಪ್ತಿಯ ಸೂಚನೆ:** ರೆಪೊಸಿಟರಿಯ ಮೂಲದಲ್ಲಿರುವ `socket.yml`, ಪ್ರಕಟಿಸಲಾದ npm ಆರ್ಟಿಫ್ಯಾಕ್ಟ್ನ Socket.dev ರಿಜಿಸ್ಟ್ರಿ-ಬದಿಯ ಪ್ರಕಟಣೆ-ನಂತರದ ಸ್ಕ್ಯಾನ್ಗಾಗಿ `projectIgnorePaths` ಅನ್ನು ಮಾತ್ರ ರೂಪಿಸುತ್ತದೆ — ಇದು ಕಡ್ಡಾಯವಾಗಿ ಜಾರಿಗೊಳಿಸಲಾದ CI/PR ವಿಲೀನ ಗೇಟ್ ಅಲ್ಲ. `.github/workflows` ನಲ್ಲಿನ ಯಾವುದೇ ವರ್ಕ್ಫ್ಲೋ, ಯಾವುದೇ `package.json` ಸ್ಕ್ರಿಪ್ಟ್ ಮತ್ತು ಯಾವುದೇ `Makefile` ಟಾರ್ಗೆಟ್ Socket.dev ಅನ್ನು ಆಹ್ವಾನಿಸುವುದಿಲ್ಲ.

ಪ್ರಕಟಿಸಲಾದ `omniroute` npm ಆರ್ಟಿಫ್ಯಾಕ್ಟ್ Next.js ನ `output: "standalone"`
ಬಿಲ್ಡ್ ಅನ್ನು ಒಳಗೊಂಡಿರುತ್ತದೆ; ಇದರರ್ಥ ದಾಖಲಿತ ವಿಶೇಷಾಧಿಕಾರದ
ವೈಶಿಷ್ಟ್ಯಗಳು (MITM, Zed ಆಮದು, Cloud Sync, ಎಂಬೆಡೆಡ್ ಸೇವಾ ಮೇಲ್ವಿಚಾರಕ) ಸೇರಿದಂತೆ ಪ್ರತಿಯೊಂದು ರೂಟ್ ಹ್ಯಾಂಡ್ಲರ್
`.next/server/*.js` ಮಿನಿಫೈಡ್ ಚಂಕ್ಗಳಲ್ಲಿ ಸೇರುತ್ತದೆ. ಹ್ಯೂರಿಸ್ಟಿಕ್ ಪೂರೈಕೆ-ಸರಪಳಿ ಸ್ಕ್ಯಾನರ್ಗಳು
ಆ ಚಂಕ್ಗಳನ್ನು ಮಾಲ್ವೇರ್ ಸಿಗ್ನೇಚರ್ಗಳೊಂದಿಗೆ ಆಗಾಗ್ಗೆ ಪ್ಯಾಟರ್ನ್-ಮ್ಯಾಚ್ ಮಾಡುತ್ತವೆ.

ನಾವು ಬಳಸುವ ಸ್ಕ್ಯಾನರ್ ಕಾನ್ಫಿಗರೇಶನ್ ರೆಪೊಸಿಟರಿಯ ಮೂಲದಲ್ಲಿರುವ
[`socket.yml`](socket.yml) ನಲ್ಲಿದೆ (Socket.dev GitHub App ಫಾರ್ಮ್ಯಾಟ್ v2 — ನೋಡಿ
<https://docs.socket.dev/docs/socket-yml>). ಇದು ರವಾನೆಯಾಗದ
ಡೈರೆಕ್ಟರಿಗಳನ್ನು (`tests/`, `_tasks/`, `_references/`, `_ideia/`,
`_mono_repo/`, `docs/`, ಇತ್ಯಾದಿ) ಸ್ಪಷ್ಟವಾಗಿ ಹೊರಗಿಡುತ್ತದೆ; ಆದ್ದರಿಂದ ಸ್ಕ್ಯಾನರ್ ವಾಸ್ತವವಾಗಿ
ಪ್ರಕಟಿತ ಬಳಕೆದಾರರನ್ನು ತಲುಪುವ ಕೋಡ್ ಪಥಗಳ ಬಗ್ಗೆ ಮಾತ್ರ ವರದಿ ಮಾಡುತ್ತದೆ — ಸ್ಕ್ಯಾನ್ ಅನ್ನು ಈ
ರೆಪೊಸಿಟರಿಯ ವರ್ಕ್ಫ್ಲೋ ನಡೆಸುವುದಿಲ್ಲ, ಬದಲಾಗಿ ಆ ಫೈಲ್ ಅನ್ನು ಓದುವ Socket
GitHub App ನಡೆಸುತ್ತದೆ.

ಪ್ರತಿಯೊಂದು ಪತ್ತೆ ವರ್ಗಕ್ಕೂ ನಾವು ಪ್ರತಿ-ಪತ್ತೆಯ ನಿರ್ವಹಣಾಕಾರರ ದೃಢೀಕರಣವನ್ನು ನಿರ್ವಹಿಸುತ್ತೇವೆ:

- **[`docs/security/SOCKET_DEV_FINDINGS.md`](docs/security/SOCKET_DEV_FINDINGS.md)** —
  ಪ್ರತಿ-ಪತ್ತೆಯ ನಕ್ಷೆ: ಮೂಲ ಫೈಲ್ ↔ ಫ್ಲ್ಯಾಗ್ ಮಾಡಲಾದ ಚಂಕ್ ↔ ವರ್ತನೆ ↔ v3.8.6 ನಲ್ಲಿ
  ಅನ್ವಯಿಸಲಾದ ಶಮನ ಕ್ರಮ.
- ಫ್ಲ್ಯಾಗ್ ಮಾಡಲಾದ ಪ್ರತಿಯೊಂದು ಫಂಕ್ಷನ್ನಲ್ಲಿರುವ ಇನ್-ಸೋರ್ಸ್ `SECURITY-AUDITOR-NOTE:` ಬ್ಲಾಕ್ಗಳು
  ಅದೇ ಡಾಕ್ಯುಮೆಂಟ್ಗೆ ಮರಳಿ ಸೂಚಿಸುತ್ತವೆ.

ಅಲರ್ಟ್ ಅನ್ನು ಸಡಿಲಿಸಲಾಗದ ಪೈಪ್ಲೈನ್ ಹೊಂದಿರುವ ಬಳಕೆದಾರರು:
`OMNIROUTE_BUILD_PROFILE=minimal npm run build` ಬಳಸಿ ಬಿಲ್ಡ್ ಮಾಡಿ. ಇದು ನಾಲ್ಕು
ಸೂಕ್ಷ್ಮ ಮಾಡ್ಯೂಲ್ಗಳನ್ನು ರನ್ಟೈಮ್ನಲ್ಲಿ HTTP 503 `feature-disabled` ಅನ್ನು
ಹಿಂತಿರುಗಿಸುವ ಸ್ಟಬ್ಗಳಿಂದ ಬದಲಾಯಿಸುತ್ತದೆ; ಆದ್ದರಿಂದ ವಿಶೇಷಾಧಿಕಾರದ ಕೋಡ್ ಪಥಗಳು ಬಂಡಲ್ನಲ್ಲಿ
ಭೌತಿಕವಾಗಿ ಇರುವುದಿಲ್ಲ.
ಪ್ರಕಟಿಸುವ ವಿಧಾನಕ್ಕಾಗಿ [`docs/security/SOCKET_DEV_FINDINGS.md`](docs/security/SOCKET_DEV_FINDINGS.md)
ನೋಡಿ.

## ಉಲ್ಲೇಖಗಳು

- [`docs/architecture/AUTHZ_GUIDE.md`](docs/architecture/AUTHZ_GUIDE.md) — ಅಧಿಕಾರ ನೀಡುವ ಪೈಪ್ಲೈನ್
- [`docs/security/GUARDRAILS.md`](docs/security/GUARDRAILS.md) — ಗಾರ್ಡ್ರೇಲ್ಗಳ ಫ್ರೇಮ್ವರ್ಕ್
- [`docs/security/COMPLIANCE.md`](docs/security/COMPLIANCE.md) — ಆಡಿಟ್ ಲಾಗ್ ಮತ್ತು ಧಾರಣೆ
- [`docs/security/PUBLIC_CREDS.md`](docs/security/PUBLIC_CREDS.md) — ಸಾರ್ವಜನಿಕ ಅಪ್ಸ್ಟ್ರೀಮ್ ರುಜುವಾತುಗಳಿಗಾಗಿ **ಕಡ್ಡಾಯ** ಪ್ಯಾಟರ್ನ್
- [`docs/security/ERROR_SANITIZATION.md`](docs/security/ERROR_SANITIZATION.md) — ದೋಷ ಪ್ರತಿಕ್ರಿಯೆಗಳಿಗಾಗಿ **ಕಡ್ಡಾಯ** ಪ್ಯಾಟರ್ನ್
- [`docs/security/SOCKET_DEV_FINDINGS.md`](docs/security/SOCKET_DEV_FINDINGS.md) — ಪೂರೈಕೆ-ಸರಪಳಿ ಸ್ಕ್ಯಾನರ್ ಪತ್ತೆಗಳಿಗಾಗಿ ನಿರ್ವಹಣಾಕಾರರ ದೃಢೀಕರಣ
- [`docs/architecture/RESILIENCE_GUIDE.md`](docs/architecture/RESILIENCE_GUIDE.md) — ಸರ್ಕ್ಯೂಟ್ ಬ್ರೇಕರ್ + ಕೂಲ್ಡೌನ್ + ಲಾಕ್ಔಟ್
- [`docs/security/STEALTH_GUIDE.md`](docs/security/STEALTH_GUIDE.md) — TLS ಫಿಂಗರ್ಪ್ರಿಂಟಿಂಗ್ (ಕಾನೂನುಬದ್ಧ/ನೈತಿಕ ಸೂಚನೆ)
- [`CLAUDE.md`](CLAUDE.md) — AI ಏಜೆಂಟ್ಗಳಿಗಾಗಿ ಕಟ್ಟುನಿಟ್ಟಿನ ನಿಯಮಗಳು
- [tldrsec/awesome-secure-defaults](https://github.com/tldrsec/awesome-secure-defaults) — ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ ಸುರಕ್ಷಿತವಾಗಿರುವ ಆಯ್ದ ಲೈಬ್ರರಿಗಳು