Cuatro cosas cerradas tras una auditoría de la API, la skill y la extensión del equipo. La extensión firma cada post que envía con un secreto que pegas una vez en su página de opciones (versión 1.31.0), y el servidor ya puede rechazar lo que no venga firmado. El servidor ya no descarga una URL de media que apunte a una dirección privada o local, la mande quien la mande. Un archivo subido se rechaza cuando sus bytes no coinciden con su extensión. Y un token para un owner o un admin solo lo puede crear el owner, porque un token lleva todos los derechos de la persona a la que pertenece.