Conta

Sessões

Listagem multi-dispositivo ainda não tem endpoint HTTP (fase seguinte). A sessão atual e o encerramento usam GET /auth/session e POST /auth/logout.

Usuário e senha

Alterar exige a senha atual e um código do app autenticador. Todas as sessões são encerradas e uma nova é aberta neste navegador.

Dois fatores

Reconfigurar 2FA exige operador no VPS — não há reset self-service.

Aparência

Segurança

Documento: docs/SECURITY.md (política pública no repositório).