# Checklist bảo mật trước production
- Đặt document root tại public; không public config, storage, SQL dump.
- HTTPS; cookie Secure/HttpOnly/SameSite; đổi session ID sau đăng nhập.
- Rate limit đăng nhập, reset mật khẩu, API.
- CSRF cho mọi thao tác thay đổi dữ liệu; kiểm tra quyền ở server.
- Upload lưu ngoài webroot, MIME + extension + size validation, tên ngẫu nhiên.
- Không lưu secret trong Git/ZIP; mã hóa secret ở database bằng khóa ngoài source.
- Cài CSP, X-Content-Type-Options, Referrer-Policy.
- Backup mã hóa và kiểm tra phục hồi.
- Review bảo mật độc lập trước khi nhận tiền thật.