La autorización es independiente de la prueba.

Los borradores privados, las tareas, el uso y la conexión con 𝕏 pertenecen a quien inició sesión. Escribir manualmente la identidad de una cuenta no concede permiso para publicar en su nombre.

Los tokens de 𝕏 se almacenan cifrados y no se exponen a la interfaz. Al desconectar se detienen su uso y renovación locales; el resultado de la revocación en 𝕏 se muestra por separado.

Justo antes del envío se vuelven a comprobar los permisos actuales, las pausas de cuenta/tema/acción y el historial de publicaciones. Se conserva una marca persistente por envío. Si el resultado remoto es incierto, no se reenvía automáticamente.

No hay me gusta ni mensajes directos automáticos. Para responder se necesita una prueba oficial de que el autor objetivo invocó la cuenta conectada. Si se desconoce el permiso de publicación, permanece desactivado.

Si encuentras una vulnerabilidad, pide primero a la persona responsable del proyecto un canal privado para informarla. No incluyas tokens, cookies de sesión, borradores privados ni detalles de explotación funcional en un issue público.

Comparte la versión afectada, el límite de permisos esperado y pasos locales de reproducción sin datos personales. Distingue claramente el resultado de un fixture local del resultado remoto real. El archivo SECURITY del repositorio explica el proceso de aviso.