Безопасность аккаунта

Пароли, сессии, CSRF, защита от перебора.

• Пароли хранятся как Argon2id-хеш, восстановить их нельзя — только сбросить через email
• Все формы защищены CSRF-токеном, AJAX-запросы — заголовком X-CSRF-Token
• Вход по паролю ограничен rate-limit: по умолчанию 10 попыток в минуту с IP
• Сессии мастеров изолированы по сайтам, cookie — HttpOnly, SameSite=Lax, Secure на HTTPS
• Загрузка файлов: только jpeg/png/webp, проверка MIME, запрет исполнения в uploads/.htaccess
• Платёжные вебхуки идемпотентны: повторное событие не начисляет оплату дважды

Что делает мастер

1. Не используйте один пароль с другими сервисами.
2. Меняйте пароль, если есть подозрение на доступ с чужого устройства.
3. Держите контакты актуальными: письма о входе и сбросе уходят на email.