Что закладывал с самого начала, а не «потом доделаю».

Порт, через который сервис общается с базой и обрабатывает запросы, наружу вообще не смотрит — доступен только внутри сервера, а наружу отдаёт данные единственная точка входа, через которую и настроены все проверки. Не «сначала запущу, потом закрою», а закрыто с первого деплоя.

Секретные ключи и пароли не лежат в коде и не попадают в git ни разу — ни в истории коммитов, ни в текущей версии. Они живут только на самом сервере, руками добавляются при разворачивании и никогда не «утекают» через репозиторий, даже если репозиторий вдруг станет публичным по ошибке.

Конкретно в моем случае, мини-приложение внутри бота проверяет, что запрос действительно пришёл из Telegram, а не откуда-то ещё, — через криптографическую подпись. И отдельно отклоняет запросы, если с момента, когда Telegram выдал эти данные, прошло слишком много времени: старую, потенциально перехваченную ссылку просто так не переиспользовать.

Место, где по-настоящему двигаются деньги, — ровно одно во всём коде. Не пять разных участков, которые надо помнить синхронизировать, а единственная точка, где начисляется или списывается что-то реальное. Меньше мест — меньше шанс, что где-то забудешь проверку.