Her istek, kullanıcının ilgili çalışma alanındaki üyeliği ve rolü doğrulanarak yetkilendirilir. Bir çalışma alanının verisi, o alanın üyesi olmayan kullanıcılara açılmaz.

Görüntüleme, oluşturma, düzenleme, silme ve yönetme yetkileri; organizasyondan belgeye kadar farklı kapsamlarda ayrı ayrı tanımlanır — kim neyi yapabilir açıkça bellidir.

Google ve Microsoft bağlantıları; PKCE ve imzalı, tek kullanımlık durum (state) doğrulaması içeren standart OAuth 2.0 / OIDC akışıyla kurulur. İstenen izinler, entegrasyonun gerçekte kullandığı kapsamla sınırlı tutulur.

Bağlı hesapların OAuth erişim ve yenileme bilgileri, sunucu tarafında kimlik doğrulamalı şifreleme (AES-256-GCM) ile saklanır ve hiçbir API yanıtında istemciye geri döndürülmez.

Bir çalışma alanı yöneticisi, bağlı bir entegrasyonu istediği an kesebilir; bağlantı kesildiğinde saklanan erişim bilgileri silinir.

Önemli hesap ve güvenlik ilgili işlemler, kurcalamaya karşı korumalı (hash zinciri ile bağlanmış) bir denetim kaydına yazılır.

Oturum açma, form gönderimi ve API uç noktaları gibi kötüye kullanıma açık işlemler, uç noktaya özel hız sınırlarıyla korunur.

Uygulamaya ve API’ye erişim HTTPS üzerinden şifrelenir; yanıtlara standart HTTP güvenlik başlıkları uygulanır.