hardening de segurança

1. HMAC-SHA256 na criação de túneis — assinatura com timestamp + nonce; proteção contra replay attacks e clock skew configurável
2. Admin token com auto-geração segura (crypto.randomBytes, chmod 600) e rotação em runtime sem restart
3. BasicAuth no dashboard — /tubes abre direto no browser com prompt nativo; aceita também X-TT-Admin-Token e Authorization: Bearer
4. Rate limiting em duas camadas — Traefik (network) + in-process RateLimiter para probes de subdomínios não registrados; IPs bloqueados automaticamente
5. IP blocklist permanente — persistido em ~/.tt/blocklist.json; gerenciável via dashboard e REST API
6. Identidade por session token — subdomínios vinculados ao token, não ao IP; resistente a CGNAT e IP dinâmico
7. Entropia no tunnel ID — sufixo hex de 6 chars (~26B combinações); enumeração inviável
8. Security Groups segregados — porta do dashboard e API restritas a IPs confiáveis; portas 80/443 abertas com IPv4 + IPv6
9. Redação de headers sensíveis em logs — authorization, cookie, x-tt-session-token, x-tt-auth, etc.
10. Token files com permissão 600 e suporte a linhas de comentário #