Опорная идея
Threat modeling помогает не спорить абстрактно о безопасности, а описать активы, trust boundaries, entry points, adversary goals и controls. Для учебного API активами будут персональные данные, токены, платежные события, база прогресса и артефакты сборки.
После threat model команда выбирает controls: encryption, IAM boundaries, input validation, rate limits, dependency checks, logging и response playbook. Главный результат — приоритизированная карта риска.