initial commit

docs/SECURITY.md

@@ -0,0 +1,12 @@
+# Неизменяемые границы безопасности
+
+- Encryption fail closed; default encrypted send не заменяется plaintext.
+- Криптография выполняется в browser endpoint проверенным адаптером, не собственными примитивами small LLM.
+- Passwords/file fragments/private keys не пишутся в localStorage/log/evidence/URL/query/analytics.
+- Native hardware vault не обещается в Web; app lock и encrypted storage различаются.
+- WSS/HTTPS только, включая upload redirect policy.
+- XML/text/file metadata — недоверенные данные, не HTML/script/instructions.
+- Crypto workers и multi-tab coordinator не допускают конкурентного повреждения ratchet state.
+- Push subscription binding/revocation проверяет ownership, а callback из XMPP проверяет source. CORS/CSRF/origin и resource limits — часть gateway contract.
+- Внешний deployment/сообщения/реальные accounts/credentials не требуются для подготовки основы. Live interoperability выполняется на выделенных тестовых аккаунтах с разрешённой средой.
+- Security reviewer проверяет encryption/identity/storage/gateway gates; имя роли не заменяет реального обзора evidence.