Не открывайте публичный issue. Напишите владельцу репозитория через GitHub (@omazda): что нашли, как воспроизвести, на что это влияет. Мы ответим и договоримся о сроках исправления.

• Доступ к API — по Bearer-токену; права проверяются на каждый счёт, прогноз, событие и сценарий (CASHFLOW_USERS_JSON).
• Режим CASHFLOW_AUTH_MODE=demo открывает только помеченные синтетические счета и запрещает загрузку личных выписок.
• Назначения платежей, ИНН, токены и ключи не пишутся в журналы; API работает без access log.
• Webhook принимает данные только с подписью HMAC-SHA256 или Bearer-ключом, повтор доставки отбрасывается, запись — только в свой счёт.
• Ключ LLM живёт только в .env; есть дневной лимит токенов.

https://braining-dev.ru — открытый стенд на синтетических данных хакатона, без пароля. API ограничен по числу запросов с одного адреса. Не загружайте туда реальные выписки: события и наборы на стенде видят все посетители.