• Валидация запросов с помощью Zod для API-входов и обновлений Telegram
• Верификация Telegram WebApp initData для аутентификации
• Шифрование AES-256-GCM с индивидуальной солью для каждого токена бота
• Аудит-логирование критических операций (создание/удаление/обновление)

• ENCRYPTION_KEY (обязательная, минимум 32 символа)
• ENCRYPTION_KEY_VERSION (отслеживает версию ключа)
• BOT_TOKEN (токен Telegram-бота для валидации initData)

1. Сгенерируйте новый ENCRYPTION_KEY
2. Выполните ротацию токенов:
   • packages/core/src/utils/key-rotation.ts → rotateAllBotTokens(oldKey, newKey).
3. Обновите ENCRYPTION_KEY и ENCRYPTION_KEY_VERSION в вашем окружении

Пожалуйста, сообщайте о проблемах безопасности приватно сопровождающим проекта. Не создавайте публичные issue для уязвимостей.