Güvenlik

• Kimlik Doğrulama
• Yetkilendirme
• Gizli Değer Yönetimi
• CORS
• Üretim Sertleştirmesi

Özet ilkeler

1. Hiçbir gizli değer koda gömülmez; tamamı ortam değişkeninden okunur.
2. Hata yanıtları yapılandırma ayrıntısı sızdırmaz.
3. Denetim kaydına ham istek gövdesi yazılmaz (allowlist deseni).
4. Kimlik doğrulamasız tek uç GET /health'tir ve hiçbir gizli bilgi döndürmez.
5. Gevşetilmiş geliştirme davranışları NODE_ENV=production altında tamamen kapalıdır.