# Quantaris Finance — Security Checklist

## Обязательные меры при продакшене

### 1. Секреты и ключи
- [ ] Сменить временный пароль админа (changeme1234)
- [ ] Установить уникальный JWT_SECRET (мин. 64 символа)
- [ ] Все API-ключи хранить в env vars, НЕ в коде
- [ ] Использовать Hashicorp Vault или AWS Secrets Manager

### 2. HTTPS и сеть
- [ ] Настроить HTTPS (Let's Encrypt / CloudFlare)
- [ ] Включить HSTS, CSP headers
- [ ] WAF (CloudFlare / AWS WAF)
- [ ] Ограничить CORS доменом фронтенда

### 3. Аутентификация
- [ ] Обязательная 2FA для админов
- [ ] Rate limiting (настроен: 10 req/15min для auth)
- [ ] Блокировка после 5 неудачных попыток
- [ ] Secure + HttpOnly + SameSite cookies

### 4. База данных
- [ ] Ежедневные автобэкапы
- [ ] Шифрование at rest
- [ ] Минимальные права пользователя БД
- [ ] Audit trail для изменений балансов

### 5. Хранение средств
- [ ] 95%+ в cold storage (мультиподпись)
- [ ] Лимиты на автовывод
- [ ] Мониторинг адресов (Chainalysis)

### 6. KYC/AML
- [ ] Интеграция KYC-провайдера
- [ ] AML-скрининг транзакций
- [ ] Зашифрованное хранение документов

### 7. Мониторинг
- [ ] Centralized logging (ELK/Datadog)
- [ ] Alerting на аномалии
- [ ] Error tracking (Sentry)
- [ ] Audit logs retention 7+ лет

### 8. Инфраструктура
- [ ] Docker non-root
- [ ] DDoS protection
- [ ] Regular pentests
- [ ] npm audit

### 9. Доверенные IP
- [ ] config.json → admin.trustedIPs
- [ ] VPN-only доступ к /admin