Безопасность
SDK — граница игры, а не доступ к внутренностям комплекса.
Секреты
session_token относится к конкретному запуску. Не включайте его в URL, репозиторий, архив, localStorage, логи и аналитику. Не публикуйте RawJson/manifest. Веб-страницы SDK не получают действующие credentials установки.
Транспорт
Production contract допускает loopback WebSocket: ws://127.0.0.1 либо ws://localhost. Локальность адреса не заменяет авторизацию: первым сообщением передаётся client.hello. Токен не передаётся в query string. Лицензия, калибровка и entitlement принадлежат платформе.
Артефакты
Исходный ZIP недоверенный. Проверки, канонизация и подпись выполняются внутренним конвейером. Игра не хранит ключ подписи и не подписывает свой .vxgame. Разделяйте разработку и установленный релиз.
Отказы
Отсутствие manifest, отказ авторизации и потеря связи не включают автономную игру. Новый Unity mock разрешён только в Editor без заданного пути запуска. Повреждённый либо явно заданный отсутствующий файл — ошибка.