Jangan pernah meng-commit settings.json, .env, database/, logs/, uploads/, auth_info_baileys/.
Pakai HTTPS (reverse proxy seperti Nginx/Caddy) + trust_proxy bila di belakang proxy.
Batasi akses berkas konfigurasi di server (permission & firewall).
Proteksi bawaan
CSRF pada form mutasi.
Rate limit pada endpoint sensitif (login, webhook, dsb.).
Guard per peran (admin/kasir/teknisi/kolektor/pelanggan).
Validasi input & query parameterized (anti SQLi).
Perlindungan path traversal pada akses berkas.
Escaping output EJS (anti XSS).
Kode aktivasi
Kode aktivasi bersifat bukan batas keamanan — hanya kontrol visibilitas menu. Simpan hanya hash (sha256) bila ingin validasi, dan atur kode teks di settings.json (tidak dipublikasikan).