Security

Secrets bleiben in .env oder lokalen Secret Stores und werden nie committed oder geloggt.
Gitea-Tokens werden ausschließlich im Backend verwendet; Bot-Identitäten und Git-Zugriff sind getrennt.
Session-Cookies sind HttpOnly; Logout löscht Session- und Push-Gerätezuordnungen.
Bugreport-Kontext ist eine enge Allowlist; Query-Parameter, Cookies, Authorization-Header und FCM-Tokens werden ausgeschlossen.
Uploads werden serverseitig geprüft, verarbeitet und über Berechtigungen geschützt.
Benutzer-, Freundes-, Blockierungs- und Sichtbarkeitsregeln gelten auch bei Konzertdaten.
Firebase-Konfigurationsdateien, private Schlüssel, Dumps und lokale Uploads gehören nicht in Git.
Produktionsdaten und Produktions-Secrets werden in lokaler Entwicklung nicht verwendet.