Не публикуйте уязвимость, cookies, токены, пароли, персональные данные или exploit в публичном issue. Если в репозитории доступен private vulnerability reporting, используйте GitHub Security Advisories. В отчёте укажите версию, минимальные шаги воспроизведения, ожидаемый риск и способ связи без секретов.

Мы подтвердим получение, оценим воздействие, подготовим исправление и раскроем информацию после появления безопасного обновления. Не обещается конкретный SLA для beta-проекта.

Не хранить VK/API tokens, cookies, пароли и client secrets в исходниках, issue, PR, скриншотах и логах. Desktop binary не может надёжно скрывать встроенный client secret. Использовать поддерживаемый публичный client flow; серверный секрет требует отдельного серверного компонента. Для runtime credential storage — Windows Credential Manager или защита средствами ОС; переменные окружения допустимы для локальной разработки, но не являются шифрованием. GitHub Secrets — только для необходимых CI-задач. Сборка pull request не должна требовать секретов.

HTTPS, проверка URI через parser и точное сравнение разрешённых host; не использовать substring allowlist. Не передавать privileged host objects произвольным страницам; валидировать web messages и origin. Внешние ссылки открывать в системном браузере после проверки схемы; запретить javascript:, file: и произвольные shell-команды. Поддерживать browser runtime; не обходить DRM/авторизацию. Logout очищает соответствующие сессии по понятному пользователю действию. Browser profile, история и кэш находятся в пользовательском каталоге, никогда в Git.

При утечке сначала отозвать credential, оценить доступ и заменить его; удаление файла из текущей версии не удаляет историю.