L’autorisation et la preuve sont distinctes.

Les brouillons privés, les tâches, l’utilisation et la connexion 𝕏 sont associés à la personne connectée. Saisir manuellement l’identité d’un compte n’autorise pas à publier en son nom.

Les jetons 𝕏 sont conservés chiffrés et ne sont pas exposés à l’interface. La déconnexion arrête leur utilisation et leur renouvellement local ; le résultat de la révocation sur 𝕏 est affiché séparément.

Juste avant l’envoi, le système revérifie les autorisations, les paramètres d’arrêt du compte/sujet/action et l’historique de publication. Un marqueur d’envoi persistant est conservé pour chaque demande. Un résultat distant incertain n’est pas renvoyé automatiquement.

Aucun j’aime ni message direct n’est automatique. Une réponse exige une preuve officielle que l’auteur ciblé a sollicité le compte connecté. Si l’autorisation de publication est inconnue, elle reste désactivée.

Si vous découvrez une vulnérabilité, demandez d’abord au responsable du projet un canal de signalement privé. N’incluez pas de jetons, cookies de session, brouillons privés ni détails d’exploitation fonctionnels dans un ticket public.

Indiquez la version concernée, la limite d’autorisation attendue et des étapes de reproduction locales sans données personnelles. Distinguez clairement le résultat d’une fixture locale d’un résultat distant réel. Le fichier SECURITY du dépôt décrit la procédure de signalement.