Autorização é diferente de evidência.

Rascunhos privados, tarefas, uso e conexão com o 𝕏 pertencem à pessoa conectada. Informar manualmente a identidade de uma conta não concede permissão para publicar por ela.

Os tokens do 𝕏 são armazenados criptografados e não ficam expostos na interface. Desconectar interrompe o uso e a renovação local do token; o resultado da revogação no 𝕏 é mostrado separadamente.

Imediatamente antes do envio, as permissões atuais, as configurações de pausa de conta/tema/ação e o histórico de publicação são verificados novamente. Um marcador persistente de envio é mantido para cada solicitação. Um resultado remoto incerto não é reenviado automaticamente.

Não há curtidas nem mensagens diretas automáticas. Uma resposta exige prova oficial de que o autor-alvo acionou a conta conectada. Se a permissão de publicação for desconhecida, ela permanece desativada.

Se encontrar uma vulnerabilidade, peça primeiro à pessoa responsável pelo projeto um canal privado para o relato. Não inclua tokens, cookies de sessão, rascunhos privados nem detalhes de exploração funcional em uma issue pública.

Informe a versão afetada, o limite de permissão esperado e etapas locais de reprodução sem dados pessoais. Diferencie claramente o resultado de uma fixture local de um resultado remoto real. O arquivo SECURITY do repositório descreve o processo de relato.