# Заметки по безопасности

- Проверяйте TLS при загрузке JWKS. Отключение проверки в проде небезопасно.
- Используйте таймауты и ретраи при загрузке JWKS, чтобы не зависать на старте.
- Не храните приватные ключи в репозитории; используйте секрет-хранилища.
- Ротируйте ключи и `kid`; устанавливайте консервативные `expires`.
- Валидация audience и версии обязательна при потреблении JWT; используйте `SessionClaims`.
- Не логируйте сырые JWT/JWE и чувствительные данные claims.
- Сливайте внешний JWT (`session + token`) только из доверенных источников.
