從第一個 API 呼叫到正式環境

1. 01API key 至少 32 字元，保存在 secret manager，並使用最小權限 key。
2. 02只在 localhost 或受 TLS 保護的私有網路發布 API。
3. 03資料與模型 volume 已備份，且還原程序測試過。
4. 04每個 RTSP Source 都使用子碼流與唯一憑證；回應中看不到未遮罩 URL。
5. 05真實模型與代表性畫面已完成 smoke test，不只 mock provider。
6. 06Webhook receiver 會驗證 raw body HMAC，並以 event_id + delivery_id 去重。
7. 07監控 /readyz、磁碟容量、模型狀態、離線來源與 dead-letter delivery。
8. 08已測試 Runtime 重啟、來源斷線、模型斷線與 webhook receiver 故障。
9. 09保存期限、存取角色、事件匯出與事故處理責任已有書面規則。
10. 10升級前先備份；確認 OpenAPI diff 與版本／棄用公告。

容量不是攝影機數字

測量每路串流解析度與 FPS、VLM 圖片尺寸與 cadence、GPU/VRAM、推理 queue、事件密度、圖片保留量和 webhook 延遲。只有在同等硬體、模型與 Monitor 設定上做過 soak test，才能承諾路數。

可用性邊界

process alive              GET /healthz
database + reconciliation  GET /readyz
node and monitor summary   GET /v1/system
CPU / RAM / GPU / disk     GET /v1/system/resources
provider readiness         GET /v1/system/models
delivery backlog           GET /v1/webhook-deliveries