Berechtigung und Nachweis sind getrennt.

Private Entwürfe, Aufträge, Nutzung und die 𝕏-Verbindung gehören zur angemeldeten Person. Das manuelle Eingeben einer Kontoidentität erteilt keine Veröffentlichungsberechtigung für dieses Konto.

𝕏-Tokens werden verschlüsselt gespeichert und nicht an die Oberfläche weitergegeben. Beim Trennen werden ihre lokale Nutzung und Erneuerung gestoppt; das Ergebnis des Widerrufs bei 𝕏 wird separat angezeigt.

Unmittelbar vor dem Senden werden aktuelle Berechtigungen, Stopp-Einstellungen für Konto/Thema/Aktion und der Veröffentlichungsverlauf erneut geprüft. Für jeden Auftrag bleibt eine dauerhafte Sendemarkierung erhalten. Ein unklarer Fernstatus wird nicht automatisch erneut gesendet.

Es gibt keine automatischen Likes oder Direktnachrichten. Eine Antwort erfordert einen offiziellen Nachweis, dass der Zielautor das verbundene Konto aufgerufen hat. Eine unbekannte Veröffentlichungsberechtigung bleibt deaktiviert.

Wenn Sie eine Schwachstelle finden, bitten Sie zuerst die Projektverantwortlichen um einen privaten Meldekanal. Veröffentlichen Sie keine Tokens, Sitzungscookies, privaten Entwürfe oder funktionsfähigen Angriffsbeschreibungen in einem öffentlichen Issue.

Nennen Sie die betroffene Version, die erwartete Berechtigungsgrenze und lokale Schritte zur Reproduktion ohne personenbezogene Daten. Unterscheiden Sie klar zwischen einem Ergebnis aus lokalen Testdaten und einem echten entfernten Ergebnis. Die SECURITY-Datei im Repository beschreibt das Meldeverfahren.