# Bảo mật

## Built-in primitives

- JWT guard
- API key manager
- CORS profiles
- CSRF protector
- Secrets manager
- Audit logger

## Best practices

- Luân chuyển secrets và keys định kỳ
- Dùng CORS strict trong production
- Bắt buộc authz checks cho routes nhạy cảm
- Ghi security events kèm correlation IDs
