[SEC-001] Захистити HTTP-маршрутизацію / Protect Internet-facing HTTP routing

[NeoUKR]

Україн�ька

ITSM Key: SEC-001
Тип / Серві�: Security / Server
Пріоритет / Вплив / Термінові�ть / Ризик: P1 / High / High / High
Цільовий реліз: Backend 4.x operations

---

Визначити TLS termination або VPN, rotation ключів, rate limits, журнали без секретів і план реагування.

Докази прийманн� й закритт�

• Критерії прийманнÑ� підтверджені
• Implementation/Change докази додані
• Вплив на безпеку й дані перевірений
• Результат перевірки або post-implementation review запиÑ�аний

---

English

ITSM Key: SEC-001
Type / Service: Security / Server
Priority / Impact / Urgency / Risk: P1 / High / High / High
Target release: Backend 4.x operations

Define TLS termination or VPN, key rotation, rate limits, secret-safe logs, and the response plan.

Acceptance and closure evidence

• Acceptance criteria confirmed
• Linked implementation/Change evidence
• Security and data impact reviewed
• Verification or post-implementation result recorded

[NeoUKR]

Українська: API-key authentication, server-side key generation/hashing/revocation, Guest/User/Admin enforcement, CSRF/XSS/path traversal/rate-limit checks і safe default loopback перевірені. Публічна HTTP-маршрутизація ще не вмикалась; TLS boundary/reverse-proxy та production approval залишаються відкритими.

English: API-key authentication, server-side key generation/hashing/revocation, Guest/User/Admin enforcement, CSRF/XSS/path-traversal/rate-limit checks, and safe loopback defaults are verified. Public HTTP routing has not been enabled; the TLS boundary/reverse proxy and production approval remain open.

[NeoUKR]

Українська\n\nBackend 4.0 security controls і mandatory API keys розгорнуті; 401 без ключа, rate limits, secret-safe storage та hardened container перевірені. Запис залишається відкритим: зовнішня HTTP-маршрутизація, firewall/VPN/TLS termination і політика rotation мають бути завершені оператором перед широким Internet exposure.\n\nEnglish\n\nBackend 4.0 security controls and mandatory API keys are deployed; unauthenticated 401, rate limits, secret-safe storage, and hardened container settings are verified. This record remains open: external HTTP routing, firewall/VPN/TLS termination, and rotation policy require operator completion before broad Internet exposure.

[NeoUKR]

Українська\n\nPost-cutover auth probe завершено без використання operator credentials: одноразовий admin key створено тільки серверним CLI, admin session підтверджено, plaintext у SQLite відсутній, після revoke той самий key повернув 401. Стан після тесту: 2 active, 7 revoked, 9 total; SQLite integrity ok.\n\nEnglish\n\nPost-cutover authentication probe completed without operator credentials: a one-time admin key was created only by the server CLI, an admin session was confirmed, plaintext was absent from SQLite, and the same key returned 401 after revocation. Post-test state: 2 active, 7 revoked, 9 total; SQLite integrity ok.

[NeoUKR]

Українська

Cross-component implementation tracking: https://app.clickup.com/t/86cb0cv9k. Пов’язані джерела істини: Drone-Age/VINS-NEO#11, DataSetsManager/client#5, #14 та Drone-Age/IVINS#7. Перший checkpoint: scope погоджено користувачем; P50 20 год, P80 32 год; реальний server e2e заблокований до verified HTTPS.

English

Cross-component implementation tracking: https://app.clickup.com/t/86cb0cv9k. Linked sources of truth: Drone-Age/VINS-NEO#11, DataSetsManager/client#5, #14, and Drone-Age/IVINS#7. Initial checkpoint: user-approved scope; P50 20 hours, P80 32 hours; real server e2e remains blocked until HTTPS is verified.

[NeoUKR]

/agent approve