Не публикуйте токены, .env, webhook payload с персональными данными или готовые эксплойты в public issue.

Свяжитесь с владельцем репозитория через приватный GitHub Security Advisory или защищённый канал владельца. Опишите:

• версию и компонент;
• шаги воспроизведения без реальных секретов;
• ожидаемый и фактический результат;
• влияние и возможные последствия.

• Храните /etc/megapbx-tg.env в режиме 0600.
• Передавайте X-CRM-Token в HTTP-заголовке, не в query string.
• Используйте HTTPS и reverse proxy.
• Не публикуйте .env, .venv, *.session и резервные копии с секретами.
• Регулярно ротируйте Telegram bot token и API-токены MegaPBX.
• Ограничивайте доступ к серверу и системному журналу.