Кто-то ещё юзает headless CMS и сталкивался с нюансами по безопасности? Сейчас на одном проекте пытаюсь разобраться - фронт отдельно, API напрямую общается с CMS, вроде удобно, но есть моменты, которые напрягают. Например, защита API эндпоинтов часто черезчур простая или вообще отсутствует, а данные идут напрямую, так что риск высокий. С CORS тоже не всё просто: если что-то пережмёшь - фронт ломается, недоделаешь - API может стать публичным.

Ещё проблема с аутентификацией и сессиями. Обычно делают stateless через JWT, но если не продумать хранение и обновление токенов, будут нюансы, особенно на клиенте. Плюс некоторые CMS не шифруют контент при сохранении, что при взломе сервера добавляет риски.

В общем, для headless приходится много руками делать по безопасности: правильные настройки API, проверки прав и ролей, нормальный CORS, HTTPS по всему стеку и регулярный аудит. Есть у кого проверенные решения, что без фанатизма можно внедрить?