Perché scegliere CYV

3x-ui, Amnezia, Remnawave e CreateYourVPN aiutano tutti ad avviare una VPN sul proprio server. La somiglianza finisce quasi lì: i prodotti nascono per obiettivi diversi e per una quantità di lavoro manuale molto diversa da parte del proprietario.

3x-ui e Remnawave sono pannelli self-hosted. Li installi sulla tua infrastruttura, ottieni moltissime impostazioni e ti occupi da solo di domini, aggiornamenti, protezione, monitoraggio e riparazioni. Amnezia Self-hosted è un'applicazione pensata soprattutto per una semplice VPN personale: installa una VPN su un singolo VPS senza terminale e permette di condividere l'accesso. CreateYourVPN, o CYV, è una piattaforma gestita: i server restano tuoi, mentre il lavoro quotidiano se lo prende il servizio.

La domanda vera non è quindi «quale pannello ha più interruttori», ma quanto lavoro manuale resta dopo il primo avvio. Se vuoi imparare Xray, Docker e Linux, un pannello self-hosted ti lascia tutto lo spazio. Se invece vuoi una VPN funzionante per te, per i tuoi cari o per i tuoi clienti senza diventare anche amministratore di sistema, CYV copre molto di più già di serie.

Quello che segue confronta le funzioni integrate. Uno script in più, un bot esterno o uno sviluppo su misura possono in teoria aggiungere quasi tutto a qualunque pannello, ma diventano un sistema a parte da scegliere, collegare, aggiornare e mantenere.

In breve: la differenza principale

CYV inizia a lavorare prima di un normale pannello VPN. Non si limita a installare il componente VPN: prepara il VPS stesso, crea un utente dedicato, sposta SSH sulle chiavi, chiude le porte inutili e attiva firewall, fail2ban e aggiornamenti di sicurezza. Dopo l'installazione la piattaforma continua a sorvegliare il server invece di consegnarlo al proprietario con un manuale.

Se un servizio o un inbound smette di funzionare, CYV non si ferma a un indicatore rosso. Alcuni processi automatici provano a ripristinare il nodo, la cronologia degli incidenti mostra cosa è successo e un punto d'ingresso irraggiungibile smette di essere distribuito agli utenti finché la rotta ha un'alternativa sana.

Per le reti con blocchi esiste uno strato dedicato: lo scanner dei siti di mascheramento, i controlli Reality eseguiti dal nodo stesso, i controlli incrociati tra server, un quorum per riconoscere i blocchi e il protocollo di emergenza sperimentale OLCRTC per le reti con lista bianca.

Infine, CYV non è solo infrastruttura. In un unico sistema ci sono già l'area personale dell'utente, i piani, i pagamenti, una vetrina white-label, le email, una Partner API e l'integrazione MCP con gli assistenti IA. Ciò che intorno a un pannello self-hosted di solito va assemblato come progetti separati, qui funziona come un unico prodotto.

1. Avvio e gestione quotidiana

La sicurezza comincia prima di installare la VPN

Su un VPS appena creato di solito SSH è sulla porta standard, l'accesso con password è permesso e le regole di rete dipendono dall'immagine dell'hoster. L'installer di un pannello aggiunge il pannello stesso, ma questo non significa che l'intero sistema operativo sia diventato sicuro.

Al collegamento di un server CYV esegue una fase di preparazione separata:

• crea un amministratore di servizio e attiva l'accesso SSH con chiave;
• disattiva l'accesso con password e l'accesso diretto come root;
• sposta SSH su una porta non standard;
• attiva UFW con la regola «vietato tutto tranne il necessario»;
• limita le porte di servizio agli indirizzi del piano di controllo;
• attiva fail2ban e l'installazione automatica degli aggiornamenti di sicurezza;
• imposta la rotazione e una conservazione breve dei log di sistema.

La password di root indicata quando si aggiunge il server serve solo per la prima connessione e non viene conservata. Dopo la preparazione CYV lavora con una chiave dedicata. L'intero processo è descritto nella lezione sui server e nella guida al primo avvio.

Il pannello non è un altro server da mantenere

3x-ui e Remnawave vanno installati, pubblicati su internet tramite un indirizzo sicuro, dotati di TLS, aggiornati e salvati. Remnawave richiede inoltre di distribuire pannello, nodi, un dominio e un reverse proxy. È un modello normale per un prodotto self-hosted, ma insieme al controllo il proprietario si ritrova un altro servizio in produzione.

CYV è già ospitato e viene aggiornato come un'unica piattaforma. Il proprietario collega i suoi VPS, mentre le versioni dei componenti server e degli agenti di servizio vengono distribuite centralmente. Non serve entrare in ogni server e ripetere l'aggiornamento a mano.

Il monitoraggio deve rispondere alla domanda «e adesso cosa faccio»

Il carico della CPU e un processo verde sono utili, ma da soli non spiegano perché un determinato utente non riesce a connettersi. In CYV la diagnostica collega lo stato di server, inbound, rotta e abbonamento e descrive il problema in linguaggio comune.

Se il guasto è già passato, resta la cronologia degli ultimi sette giorni: quando è iniziato il problema, quanto è durato, se si era già ripetuto, se è partita una riparazione, se il pannello è stato riavviato e se è stata inviata una notifica. Così si distingue un picco di rete occasionale da un problema sistematico dell'hoster.

Approfondimenti: monitoraggio e rete di controlli, metriche del server e rotte.

L'assistenza fa parte del prodotto

Una richiesta di assistenza a CYV si può inviare direttamente dal pannello in qualsiasi momento. Per chi inizia è particolarmente importante: non devi prima capire quale componente si è rotto e in quale GitHub Issues scrivere. I progetti open source hanno documentazione, community e chat, ma l'aiuto della community non equivale a un canale di assistenza integrato nel servizio.

2. Resistenza ai blocchi, routing e rete

CYV evita di dover indovinare il sito di mascheramento

VLESS + Reality fa sì che la connessione VPN somigli a una normale visita HTTPS a un sito reale. La qualità del travestimento dipende dal sito scelto: deve supportare TLS 1.3 e HTTP/2, essere raggiungibile dal paese del server e rispondere abbastanza in fretta.

In CYV il server esamina automaticamente il proprio vicinato di rete e cerca siti vicini che soddisfino questi requisiti. Un sito vicino di solito offre latenza minima e un profilo di traffico naturale per un data center. I candidati compaiono nel pannello come suggerimenti pronti, e l'indirizzo scelto viene verificato dal nodo stesso, non dal browser del proprietario in un altro paese.

La scansione parte durante l'installazione e si può ripetere manualmente in qualsiasi momento. Come funziona e perché controlla proprio TLS 1.3 + HTTP/2 lo spiega la lezione sullo scanner di mascheramento.

I server si guardano tra loro dall'esterno

L'autocontrollo vede che Xray è in esecuzione e che la porta è in ascolto. Non vede il caso in cui l'indirizzo IP è bloccato presso il provider dell'utente: il server si considera sano, ma dall'esterno non lo raggiunge nessuno.

Per questo i server CYV formano una rete di controlli reciproci. Ogni nodo verifica gli altri server e i loro inbound, e la decisione non nasce da un singolo timeout casuale, ma da una serie stabile di fallimenti e dai voti di più verificatori indipendenti. Un server nel paese dei tuoi clienti può essere segnato come verificatore fidato: il suo punto di vista è più vicino alla rete reale dell'utente.

Se il blocco è confermato, il proprietario riceve un'email e l'inbound interessato smette di essere distribuito finché la stessa rotta conserva un punto d'ingresso sano. Al successivo aggiornamento dell'abbonamento l'utente passa a un server funzionante senza ricevere un nuovo link. Il sistema non promette di vedere ogni rete del mondo: il controllo mostra il punto di vista dei tuoi server, ed è proprio per questo che un verificatore nel paese giusto è così utile.

Una rotta è una riga stabile, non un server preciso

Nell'app dell'utente una rotta appare come una sola località. Al suo interno possono esserci più inbound su server diversi.

CYV distribuisce gli utenti tra i server. Il pannello calcola quale server è al momento il meno carico e ci manda l'utente successivo: il carico si misura come banda libera per utente connesso, quindi una macchina debole e affollata non riceverà nuove persone. C'è anche un semplice giro a turno con coefficienti, per quando i server hanno potenze diverse e vuoi impostare la proporzione a mano.

Se un server cade, la rotta resta. Se non rimane alcun inbound sano, la riga vuota sparisce temporaneamente dall'abbonamento e torna dopo il ripristino. Grazie a questo, sostituire o riparare un singolo VPS non si trasforma nell'invio di nuove configurazioni a tutto il pubblico.

Per topologie più complesse c'è il multi-hop: l'utente entra da un server in un paese ed esce verso internet da un altro. La catena si compone nel pannello senza modificare a mano la configurazione di Xray.

Lo split tunneling arriva alle app e ai router

In CYV puoi stabilire quali domini, categorie di siti e paesi passano dalla VPN e quali vanno diretti. I valori geosite e geoip vengono verificati su un catalogo prima del salvataggio: un errore di battitura non finisce nella configurazione e non impedisce l'avvio dell'app sul dispositivo dell'utente.

Le regole già pronte si possono importare da Clash, sing-box, Xray o da un semplice elenco. La fonte viene aggiornata una volta al mese, e un'espansione potenzialmente pericolosa delle regole, che manderebbe troppo traffico fuori dalla VPN, richiede una nuova verifica del proprietario.

Le stesse regole arrivano alle app compatibili e ai router domestici con OpenWrt e Nikki. A parte, sul server si possono attivare il blocco dei torrent e della pubblicità: l'utente non lo aggira modificando la configurazione locale. Un buon punto di partenza sono le lezioni sugli inbound e sul collegamento di OpenWrt.

OLCRTC, la via di riserva per le liste bianche

Quando una rete consente solo un breve elenco di servizi, i normali protocolli VPN possono non stabilire affatto la connessione. Per questo caso CYV dispone del protocollo di emergenza sperimentale OLCRTC.

L'utente crea una nuova videochiamata in un servizio supportato, passa il link dall'area personale o via email e riceve una connessione temporanea. Per la rete restrittiva il traffico sembra la partecipazione a una videoconferenza consentita. OLCRTC è più lento di una VPN normale e dipende dalla disponibilità del servizio video, quindi si usa come salvagente e non come trasporto principale. Meglio prepararsi in anticipo seguendo le istruzioni per l'accesso di emergenza.

3. Utenti, vetrina e denaro

Non solo un link, ma un'area personale

Il link di abbonamento e il codice QR esistono in più prodotti, e la tabella lo riconosce onestamente. La differenza di CYV è che attorno a quel link è già costruito tutto il percorso dell'utente.

Il cliente entra con un codice monouso ricevuto via email e vede:

• il proprio abbonamento e il codice QR;
• i pulsanti di installazione delle app e le istruzioni;
• scadenza, traffico e stato dell'accesso;
• i piani e il pulsante di pagamento;
• i contatti di assistenza del tuo servizio;
• il link e le istruzioni per OpenWrt con Nikki;
• l'accesso di emergenza, se attivato.

La vetrina si può installare sulla schermata iniziale del telefono come PWA, con nome e icona tuoi. Quando cambiano un server, una rotta o una regola, l'utente non riceve un nuovo file: l'app prende l'aggiornamento dallo stesso abbonamento. È mostrato più in dettaglio nelle lezioni sugli utenti e sulla personalizzazione della vetrina.

Un limite di dispositivi che si può spiegare e gestire

Il limite «una connessione» spesso diventa un rifiuto misterioso, senza informazioni su quale dispositivo abbia occupato il posto. In CYV l'utente ha posti dispositivo, mentre il proprietario vede i posti occupati, l'ora dell'ultima richiesta e un contatore dei rifiuti nelle 24 ore. Un posto inattivo si libera dopo 14 giorni; se serve, il proprietario azzera i posti manualmente.

Se il link trapela, l'utente può rigenerarlo da solo dall'area personale, entro un limite di frequenza. Il vecchio segreto e le vecchie chiavi smettono di funzionare e l'evento resta nel registro di sicurezza. Il proprietario non deve cercare il cliente né fare l'operazione al posto suo.

Anche Remnawave supporta restrizioni HWID, per questo nella riga sul controllo dei dispositivi ha ✅. È un esempio di funzione simile che i prodotti risolvono in modi diversi.

La vetrina diventa un servizio con il tuo marchio

Al livello base CYV offre già l'area personale. Il piano Max aggiunge una landing pubblica, domini propri e l'intero percorso di vendita. Il logo viene usato automaticamente come favicon, icona PWA e immagine per i social; colori, nome e contatti di assistenza li imposta il proprietario.

La vetrina ha tre indirizzi separati: landing, area personale e abbonamenti. Possono vivere su domini diversi, così il blocco della pagina pubblica non porta necessariamente con sé l'accesso degli utenti e l'aggiornamento delle configurazioni. Il cliente vede il marchio del proprietario, non CreateYourVPN, compresa l'interfaccia dell'area personale e le email.

Il pagamento diventa subito accesso

In CYV un piano è una durata, un volume di traffico, un limite di dispositivi, un prezzo e regole di registrazione. Si può assegnare a mano o vendere tramite un fornitore di pagamenti collegato. Dopo un webhook verificato il sistema trova da solo l'utente, attiva o prolunga l'accesso e si protegge dal concedere due volte lo stesso pagamento.

Il denaro arriva direttamente sul conto del proprietario presso il fornitore; CYV non è il venditore e non trattiene commissioni sugli incassi. Il registro dei pagamenti mostra eventi elaborati, errori e pagamenti «non associati». Questi ultimi si collegano manualmente a un utente e a un piano, dopodiché il pagamento successivo viene riconosciuto da solo.

L'intero percorso è descritto in tre lezioni: piani, monetizzazione e pagamento della piattaforma.

4. Automazione, integrazioni e sicurezza dei dati

Con MCP l'infrastruttura si gestisce parlando

3x-ui, Remnawave e CYV hanno tutti un'API, quindi tutti e tre si possono collegare alla tua automazione. In CYV, sopra la Partner API funziona già un server MCP remoto: un assistente IA compatibile non riceve un'API HTTP grezza, ma strumenti chiari per server, inbound, rotte, utenti, diagnostica e documentazione.

Il collegamento passa da OAuth. Il proprietario sceglie il livello: sola lettura, lettura e configurazione oppure accesso completo. I permessi vengono verificati a ogni chiamata, le cancellazioni rischiose sono protette anche da un codice inviato via email e il collegamento si può revocare dal pannello. Il registro delle azioni mostra quale strumento è stato invocato e come è finita l'operazione; segreti ed email complete non ci finiscono.

Si possono collegare ChatGPT, Claude, DeepSeek e altri client MCP. Architettura e limiti dell'accesso sono spiegati nella lezione su MCP, mentre un esempio pratico è nella guida a DeepSeek. Per le integrazioni normali c'è la panoramica della Partner API.

Il backup parte già cifrato verso lo storage del proprietario

Una copia di backup salva gli utenti, le loro scadenze, i limiti, i token di abbonamento e le chiavi di connessione. CYV cifra il file prima di caricarlo e lo deposita nel Google Drive o nello storage compatibile S3 del proprietario: AWS S3, Cloudflare R2, Backblaze B2, Wasabi e altri.

La copia si può ripristinare in un cluster CYV oppure in un pannello compatibile pulito. È un punto di principio: il backup resta utile anche fuori dalla piattaforma, e le app già configurate degli utenti possono continuare a funzionare dopo il ripristino. Frequenza e conservazione le imposta il proprietario; i dettagli sono nella lezione sui backup e nelle istruzioni di backup.

Nel piano Pro è disponibile anche il cambio del master del cluster. Il ruolo di controllo passa a un altro nodo senza sostituire i link di abbonamento degli utenti. Invece di una migrazione manuale d'emergenza si ottiene un'operazione controllata, con verifiche preliminari e rollback; maggiori dettagli nella lezione sui cluster.

5. Sicurezza e privacy verificabili

Non «fidatevi di noi», ma affermazioni confutabili

CYV pubblica un rapporto sulla sicurezza. Non è fatto di promesse generiche, ma di affermazioni numerate: cosa succede alla prima password del VPS, quali dati finiscono nei log, come sono separati gli account e cosa viene installato sul server.

Accanto sono pubblicate le limitazioni note. Un ricercatore può non solo trovare una vulnerabilità classica, ma anche dimostrare che una delle affermazioni del rapporto è falsa. Per questo esiste un programma bug bounty dedicato. Le scoperte confermate e le correzioni finiscono in un registro pubblico, e i loro autori nella Hall of Fame.

Questo formato conta per una piattaforma gestita: una parte del lavoro avviene in automatico, quindi la fiducia deve poggiare su promesse tecniche verificabili e su una storia di reazioni agli errori.

Log ridotti al minimo

Sui server VPN il log degli accessi di Xray viene disattivato forzatamente a ogni applicazione della configurazione: gli indirizzi visitati dagli utenti non vengono registrati. I log di sistema del VPS si conservano un'ora, la cronologia del carico 24 ore, mentre gli incidenti di infrastruttura anonimizzati e i risultati della diagnostica fino a sette giorni.

Una panoramica generale di questi principi è nel centro sicurezza di CYV.

Quanto costa davvero

3x-ui, Amnezia Self-hosted e Remnawave si possono usare gratis: è uno dei loro vantaggi importanti. Ma un prezzo di licenza pari a zero non rende gratuita la gestione. Nel conto restano il VPS per il pannello, i domini, i backup, il monitoraggio e soprattutto il tempo della persona che aggiorna il sistema e reagisce ai guasti.

CYV non ha un canone per numero di server. Il primo utente è gratuito; poi puoi scegliere 0,10 € al mese per utente in archivio oppure 0,20 € solo per l'utente che si è connesso nelle ultime 24 ore. Pro costa 0,99 € al mese e aggiunge backup, OLCRTC e cambio del master. Max costa 4,99 € al mese, include Pro e sblocca landing, domini propri, piani e vendite.

Il confronto sensato non è quindi «0 € contro 0,10 €», ma due modi di pagare: con il proprio tempo per la gestione manuale, oppure con una cifra piccola e prevedibile per l'automazione. Lo schema di addebito attuale, il periodo di prova e il comportamento del saldo sono descritti in dettaglio nella lezione sul pagamento.

Cosa resta tuo

CYV non vende una VPN condivisa già pronta e non si prende l'infrastruttura. I VPS li affitti dagli hoster che scegli, i domini sono tuoi, i pagamenti dei clienti vanno direttamente al tuo fornitore e i backup stanno nel tuo Google Drive o S3.

La base utenti si può salvare regolarmente nel tuo storage e ripristinare da una copia fuori da CYV. Non è solo una funzione d'emergenza, ma anche la risposta alla domanda sulla dipendenza dalla piattaforma: l'automazione la fornisce il servizio, mentre gli asset principali restano al proprietario.

A chi conviene ciascuna opzione

3x-ui va bene per chi vuole un pannello gratuito e versatile, con un'ampia scelta di protocolli, e preferisce gestire ogni impostazione da sé. Offre abbonamenti, API REST, multi-nodo, backup e bot per amministratori.

Amnezia Self-hosted è un'ottima scelta per una VPN personale su un solo VPS. L'installazione avviene senza terminale, ci sono più protocolli e l'accesso si condivide con i familiari tramite chiave, file o codice QR.

Remnawave è pensato per l'amministratore esperto che vuole un pannello self-hosted moderno, più nodi, profili Xray flessibili, API, metriche e una pagina di abbonamento personalizzabile.

CYV conviene quando non conta il numero massimo di impostazioni manuali, ma il risultato finito: collegare i server in sicurezza, mantenerli attivi automaticamente, rilevare i blocchi, dare alle persone un'area personale comoda e, se vuoi, trasformare tutto in un servizio con il tuo marchio.

Domande frequenti

CYV va bene per una sola VPN personale?

Sì. Puoi restare nella modalità semplificata con un solo server e non attivare mai le funzioni commerciali. Il primo utente è gratuito, quindi per l'uso personale paghi solo l'affitto del tuo VPS. Se più avanti arrivano familiari o clienti, non dovrai ricostruire nulla da zero.

Bisogna saper amministrare Linux?

No. Per il primo avvio basta affittare un VPS compatibile e inserire i dati di connessione nella procedura guidata. CYV prepara da sé il sistema operativo e installa i componenti necessari. Il terminale resta accessibile al proprietario, ma non è il modo consueto di gestire il servizio.

CYV sostituisce il provider di hosting?

No. Il VPS lo affitti direttamente da un provider qualsiasi adatto, e CYV lo collega e lo gestisce come server VPN. La fattura del VPS si paga all'hoster separatamente.

Cosa succede se un server viene bloccato?

Gli altri tuoi server noteranno l'irraggiungibilità persistente, e un verificatore fidato aiuterà a stabilire la direzione del blocco. CYV avvisa il proprietario e smette di distribuire un inbound confermato come bloccato se la rotta ha un'alternativa sana. Per le reti con lista bianca c'è lo scenario di emergenza OLCRTC.

Serve sviluppare una propria app VPN?

No. Gli utenti si collegano con app standard: Happ, Streisand, v2rayN, v2rayNG, Hiddify e altre. L'area personale indica l'app adatta e fornisce link o codice QR. Si può iniziare dalla guida a Happ.

CYV registra i siti visitati dagli utenti?

No. Il log degli accessi di Xray sui server collegati è disattivato forzatamente. La piattaforma conserva solo una telemetria tecnica limitata, necessaria per lo stato dei server, la diagnostica e la sicurezza; i tempi di conservazione sono pubblicati nel rapporto.

Posso collegare a CYV un mio bot o CRM?

Sì. Per le integrazioni normali ci sono la Partner API e la collezione Postman pubblica. Per gli assistenti IA c'è MCP con OAuth e permessi a scelta. Entrambi permettono di automatizzare senza consegnare la password del pannello.

Cosa succede ai miei utenti se decido di andarmene?

Server e domini restano tuoi. Con Pro puoi esportare regolarmente la base utenti cifrata nel tuo storage e poi ripristinare la copia in un pannello compatibile pulito.

Come abbiamo confrontato

Non abbiamo confrontato tutte le funzioni di Xray né il numero di campi nei moduli. Il criterio dell'articolo è ciò che il proprietario ottiene come processo di lavoro finito: installazione, sicurezza del VPS, rilevamento e riparazione dei guasti, reazione ai blocchi, consegna dell'accesso all'utente, vendite e automazione.

Per gli altri prodotti abbiamo usato i materiali ufficiali disponibili alla data di aggiornamento dell'articolo:

• documentazione di 3x-ui e le sezioni su installazione e abbonamenti;
• documentazione di Amnezia sulla configurazione della VPN Self-hosted e sulla condivisione dell'accesso;
• documentazione di Remnawave sulla configurazione iniziale, sulle variabili d'ambiente e il modello ufficiale della pagina di abbonamento.

I prodotti evolvono, quindi le tabelle fotografano lo stato alla data indicata. Se nella versione ufficiale di un concorrente comparirà una funzione integrata paragonabile, il confronto andrà aggiornato.