Izolare strictă, acces minim și surse tratate ca date neverificate.
Securitatea e parte din arhitectură: autentificare SSR, politici la nivel de rând, chei doar pe server și audituri pentru operațiunile sensibile.
Conturi și organizații
Sesiuni pe cookie prin Supabase SSR. Identitatea vine din sesiunea verificată, niciodată din corpul cererii.
Date financiare separate
Proiectul-sursă e accesat doar pe server, cu credențiale de citire, interogări exacte după CUI și selecții explicite de coloane.
Date sensibile
Declarațiile sensibile folosesc AES-256-GCM cu nonce aleatoriu și versiune de cheie. Cheile nu stau în baza de date.
Documente externe
URL-uri HTTPS din listă permisă, blocare SSRF, limite de dimensiune, hash-uri, carantină și parsare fără entități XML externe.