apibrasil 1.0.0

# Política de segurança

## Versões suportadas

| Versão | Suportada |
| ------ | --------- |
| 1.x    | ✅        |

## Reportando uma vulnerabilidade

Não abra issues públicas para falhas de segurança.

Envie os detalhes para **contato@apibrasil.com.br** com:

- descrição da falha e do impacto;
- passos para reproduzir (ou prova de conceito);
- versão da SDK e do Rust usados.

Confirmamos o recebimento em até 3 dias úteis e informamos o andamento da
correção até a publicação da versão corrigida no
[crates.io](https://crates.io/crates/apibrasil).

## Boas práticas ao usar a SDK

- Guarde `BearerToken`, `DeviceToken` e `SecretKey` em variáveis de
  ambiente (`APIBRASIL_BEARER_TOKEN`, `APIBRASIL_DEVICE_TOKEN`,
  `APIBRASIL_SECRET_KEY`) ou em um gerenciador de segredos — nunca no
  código versionado.
- Restrinja de onde o token pode ser usado com
  `api.ip_whitelist()` e limite a taxa de uso com
  `api.bearer_rate_limit()`.
- O `Debug` de `Config` já omite as credenciais, mas evite logar respostas
  completas de rotas que devolvem dados pessoais.
- Use `api.auth().token_rotate()` / `token_revoke()` ao suspeitar de
  vazamento de token.