API chạy trên Firebase Realtime Database (Google lưu trữ, luôn bật, không cần máy treo, không cần bot). Làm lần lượt bước 1→4.
Dán đoạn này vào Realtime Database → Rules → Publish. Chỉ admin ghi/đọc toàn bộ; người ngoài chỉ đọc đúng 1 key khi biết mã (không liệt kê được), thiết bị chỉ gắn được khi chưa quá giới hạn.
Key được băm SHA-256 làm khóa; mật khẩu người dùng được băm, không còn lưu dạng chữ thường.