# OCHLOO Vault — хамгаалалтын заавар

Энэ хувилбар нь static frontend тул app.js доторх access code-ийн SHA-256 hash нь source-оос харагдах боломжтой. Иймээс үүнийг жинхэнэ нууцлал гэж үзэхгүй.

Production дээр дараах давхаргыг заавал нэмнэ:

1. Домэйн дээр HTTP Basic Auth, Cloudflare Access эсвэл VPN gate тавих.
2. APK/TVBox файлуудыг public root-д шууд тавихгүй; private object storage эсвэл authenticated download endpoint ашиглах.
3. Admin password/code-ийг frontend JavaScript-д хадгалахгүй. Server-side environment secret эсвэл database-д хадгална.
4. Download endpoint дээр session шалгах, rate limit болон audit log нэмэх.
5. HTTPS, strong password, 2FA, тогтмол backup ашиглах.

Одоогийн demo access code: OCHLOO-2026.

## App нэмэх

app.js дахь apps массивт шинэ объект нэмээд url талбарыг тухайн authenticated download endpoint рүү заана. Production хувилбарт энэ массивыг server API-аас дуудаж, файл татах URL-ийг богино хугацааны signed URL болгох нь зөв.