v0.1.0

SECURITY.md

@@ -9,6 +9,11 @@
 - Logowanie i recovery sa limitowane per IP + konto.
 - CSP nie zawiera `unsafe-inline` ani `unsafe-eval`; dodatkowo nosniff, frame deny, no-referrer i ograniczony Permissions-Policy.
 - Request body i timeout sa limitowane.
+- Za reverse proxy adres klienta brany jest z `X-Forwarded-For`/`X-Real-IP` tylko od adresow z `security.trusted_proxies` (prawy skrajny niezaufany adres) – klient nie moze podszyc sie pod inny IP.
+- Sesje sa co `session_revalidate_seconds` sprawdzane w bazie: wylaczone/usuniete konto oraz odebrane domeny dzialaja natychmiast.
+- Zmiana hasla wylogowuje pozostale sesje konta; zmiana hasla/dezaktywacja przez administratora wylogowuje wszystkie sesje tego konta.
+- Wygasle sesje, wyzwania MFA i liczniki prob sa okresowo czyszczone z pamieci.
+- `hsts = true` dodaje `Strict-Transport-Security`.
 
 ## Development mock DB