सुरक्षा

अनुमति केवल Kick पर दें। भेजने के बाद क्लाइंट सीक्रेट सर्वर पर रहता है; परिणाम ब्राउज़र से बँधा और एक बार उपलब्ध है। state, PKCE S256, CSRF जाँच, दर सीमाएँ और कैश निषेध लागू हैं। टोकन, सीक्रेट या निजी प्राप्ति URL सार्वजनिक न करें।

टोकन जारी करने वाले ऐप के होते हैं। रिफ्रेश के लिए उसी ऐप के क्रेडेंशियल या सक्षम साझा रिफ्रेश सेवा चाहिए। केवल आवश्यक अनुमतियाँ चुनें, स्ट्रीम कुंजी सुरक्षित रखें और अनावश्यक टोकन रद्द करें।