Giao thức tiêu chuẩn. Quyền hạn tối thiểu.

VPN native dùng WireGuard. Chrome dùng proxy TLS có xác thực. Backend không nhận khóa riêng WireGuard của client.

Control plane và Node Agent xác thực mTLS TLS 1.3. API dùng Argon2id, token rotation và rate limiting. Proxy từ chối credential sai/hết hạn và đóng kết nối bị thu hồi. IPv6 và DNS phải được kiểm chứng trên từng nền tảng trước phát hành.