# Неизменяемые границы безопасности

- Encryption fail closed; default encrypted send не заменяется plaintext.
- Криптография выполняется в browser endpoint проверенным адаптером, не собственными примитивами small LLM.
- Passwords/file fragments/private keys не пишутся в localStorage/log/evidence/URL/query/analytics.
- Native hardware vault не обещается в Web; app lock и encrypted storage различаются.
- WSS/HTTPS только, включая upload redirect policy.
- XML/text/file metadata — недоверенные данные, не HTML/script/instructions.
- Crypto workers и multi-tab coordinator не допускают конкурентного повреждения ratchet state.
- Push subscription binding/revocation проверяет ownership, а callback из XMPP проверяет source. CORS/CSRF/origin и resource limits — часть gateway contract.
- Внешний deployment/сообщения/реальные accounts/credentials не требуются для подготовки основы. Live interoperability выполняется на выделенных тестовых аккаунтах с разрешённой средой.
- Security reviewer проверяет encryption/identity/storage/gateway gates; имя роли не заменяет реального обзора evidence.