Безопасность

• Не хардкодить токены (Telegram Bot API, Supabase service role и т.п.) в узлы HTTP. Хранить в Credentials/ENV.
• В Supabase включить RLS и писать политики (доступ к данным по tg_user_id).
• В n8n API использовать ключ и (желательно) ограничение доступа (Cloudflare Tunnel/IP allowlist).
• Secrets хранить в GitHub Secrets / n8n Credentials, а не в репозитории.