- CORS production memakai allowlist dan tidak menggabungkan wildcard dengan credentials.
- Validasi body, query, params, enum, ukuran payload, dan ownership di server.
- Gunakan parameter/query builder; jangan membangun query dari string input mentah.
- Secret hanya di server runtime dan Vercel Environment Variables.
- Rate limit auth, upload, dan public endpoints secara terpisah.
- Beri request id pada log dan response tanpa membocorkan token atau stack trace.
- Gunakan idempotency untuk payment, invitation, dan workflow yang bisa di-retry.
- Audit status transition dan actor pada resource transaksi atau ledger.