БЕЗОПАСНОСТЬ САЙТА
Что в текущем исходном коде FROSTLINE 4.0 действительно предусмотрено для защиты, а что пока требует настройки или отдельной проверки.
01 / Шифрование соединения и заголовки
При размещении на Cloudflare Pages сайт открывается по HTTPS при корректной настройке домена и сертификата. В проекте предусмотрены заголовки HSTS, X-Content-Type-Options, Referrer-Policy и запрет встраивания в iframe.
В локальном HTML-файле и до правильного развёртывания наличие этих заголовков не гарантируется: их нужно проверить на опубликованном адресе.
02 / Политика загрузки контента
CSP ограничивает JavaScript и обращения к сторонним ресурсам. Подключение Cloudflare Turnstile разрешено только для формы поддержки, а изображения предметов загружаются с raw.githubusercontent.com.
Сторонние игровые изображения — отдельная зависимость: при их загрузке браузер обращается к GitHub.
03 / Данные и оплата
Steam-пароли, коды Steam Guard, номера банковских карт и CVV сайт не запрашивает. Демонстрационный заказ не создаёт транзакции.
Корзина, история демо-заказов, награды и настройки снегопада сохраняются в localStorage. Это удобство интерфейса, а не защищённое серверное хранилище.
04 / Поддержка и антиспам
Серверная функция проверяет размер и содержимое обращений, источник запроса и токен Cloudflare Turnstile — при условии правильной настройки секретов.
Для действующей публичной формы рекомендуется включить WAF/rate limiting, настроить Resend и проверить домен отправителя. Передавайте найденные проблемы через форму поддержки на главной странице; не присылайте секреты или чужие персональные данные.
05 / Что не заявляется
Нет независимой сертификации безопасности, подтверждения PCI DSS, завершённого penetration test или гарантии полной защиты.
Для реальной торговли необходимы отдельные серверные механизмы авторизации, учёта заказов, проверки платёжных вебхуков и выдачи товаров.