El pairing es HMAC. Las lecturas van con jail realpath bajo ABSPATH. Por encima de 2 MiB se omiten. El secret permanece en la ficha hasta que Pair funcione.
No calcula hashes, no corre YARA ni limpia. Clean y harden se rechazan en connector y SFTP; hace falta SSH. Llamarlo “plugin de seguridad” al estilo WordPress sería mentir.
La descarga es desde la cuenta autenticada, no desde el sitemap. Ver connector y agencias.