config.allow_insecure_sign