Bảo mật cơ bản: không lộ mật khẩu, khoá API