# Checklist de produccion

- [ ] Backup completo del proyecto actual.
- [ ] `.env` creado y no accesible por navegador.
- [ ] `STREAM_TOKEN_SECRET` generado con `random_bytes`.
- [ ] `APP_DEBUG=false`.
- [ ] `VERIFY_SSL=true`.
- [ ] HTTPS activo y sin downgrade a HTTP.
- [ ] `ALLOWED_UPSTREAM_HOSTS` con dominios reales.
- [ ] `storage/` con permisos de escritura solo para PHP.
- [ ] `core/` bloqueado desde navegador.
- [ ] `storage/logs`, `storage/secrets`, `storage/sessions` bloqueados.
- [ ] FFmpeg y ffprobe instalados.
- [ ] Prueba MP4 H.264/AAC.
- [ ] Prueba MKV H.264/AAC.
- [ ] Prueba MKV HEVC/DTS.
- [ ] Prueba HLS live.
- [ ] Prueba series con `series_id` y `episode_id`.
- [ ] DevTools confirma que no se exponen URLs `/movie/user/pass/` ni `/live/user/pass/`.
- [ ] Logs no contienen passwords ni tokens completos.
- [ ] JWPlayer crackeado retirado o deshabilitado.
- [ ] Admin hardcodeado corregido antes de exposicion publica.