ادّعاءات قابلة للتحقّق.

كلمة المرور لازمة فقط لفتح أول اتصال SSH وتثبيت مستخدم خدمة. تُمرَّر كمصادقة SSH لاتصالنا — لا كوسيط سطر أوامر أو متغيّر بيئة. قاعدة بياناتنا لا تحتوي على حقل لها؛ لا تدخل بيئات تشغيل السكربتات ولا تُكتَب في السجلّات (أخطاء الاتصال تحتوي فقط على العنوان والمنفذ، لا كلمة المرور أبدًا). في الذاكرة تُمحى (على قدر المستطاع) بعد الاستخدام — وهذا دفاع في العمق، لا ضمان: قد تحتفظ Go بنسخ من القيمة في الكومة إلى حين جمع المهملات.

تحفّظ صادق: تظل هذه كلمة مرور root على خادمك. بعد التثبيت نُعطّل تسجيل الدخول بكلمة المرور وبـ root عبر SSH، لكننا لا نُغيّر كلمة المرور نفسها — غيّرها بنفسك إن شئت. عبارة «لا نُخزّنها» صحيحة؛ أما «لم تعد سرًّا» فليست كذلك.

PasswordAuthentication no، PermitRootLogin no، ونُقِل SSH إلى منفذ غير قياسي (12011 افتراضيًا)، وفُعِّل fail2ban (حظر لمدة ساعة بعد 5 محاولات فاشلة)، وتسجيل الدخول بالمفتاح فقط. يُتحقَّق من المفتاح العام بصرامة قبل الاستخدام: تُرفَض المفاتيح التي تحتوي أسطرًا جديدة (حماية من دسّ مفاتيح إضافية في authorized_keys) والمفاتيح غير الصحيحة نحويًا.

الحماية من الإقفال الذاتي: لا يُغلَق المنفذ 22 إلى أن تؤكّد النواة (عبر ss) أن منفذ SSH الجديد يستمع فعليًا؛ ويُفحَص الإعداد بـ sshd -t وقاعدة sudo بـ visudo -cf، ويُتراجَع عن كليهما عند حدوث خطأ.

تعمل اللوحة لا بكلمة مرورك بل بمفتاح منفصل (ed25519) تُولّده بنفسها. الجزء الخاص يقبع في قاعدة البيانات مُشفَّرًا بـ AES-256-GCM. أما مفتاح التشفير (KEK) فيُخزَّن منفصلًا عن قاعدة البيانات — في متغيّر بيئة على الخادم — وهو في الإنتاج إلزامي (لا وجود لقيمة افتراضية غير آمنة: من دون KEK لن يبدأ نظام التشفير الفرعي أصلًا). التشفير نفسه يحمي الأسرار الثقيلة في قاعدة البيانات — كلمة مرور/رمز/JWT مسؤول Marzban، ومفاتيح Reality، ومفاتيح مزوّدي الدفع، وذاكرة اعتمادات الوكيل المؤقتة، وإعداد النسخ الاحتياطي.

التشفير لا يُخفي البيانات فحسب بل يوثّقها (وسم مصادقة GCM): يُكتشَف العبث بحقل مُشفَّر عند فكّ التشفير ويُرفَض. كل حقل يُشفَّر بـ nonce عشوائي جديد؛ وقيمة KEK لا تصل إلى السجلّات أبدًا — فقط مُعرّفها القصير.

بخصوص رموز الصلاحية: رمز الاشتراك /sub سرٌّ من نوع bearer. للبحث نُخزّن فقط SHA-256 الخاص به، بينما النسخة اللازمة لإعادة عرض رابط سبق إصداره تُحفَظ كنص مُشفَّر بـ AES-GCM. أما السجلات القديمة بنص صريح فتُرحَّل إلى الصيغة الجديدة، بنهج fail-closed، قبل بدء خادم HTTP. أما مُعرّف رابط webhook الدفع فيُخزَّن بنص صريح لكنه بذاته لا يوثّق حدثًا: تُتحقَّق الأصالة على حدة عبر توقيع HMAC.

تُحفَظ أسرار مفاتيح Partner API بصورة لا يمكن عكسها: يُعرَض المفتاح الكامل مرة واحدة فقط عند إصداره، ولا يبقى في قاعدة البيانات سوى SHA-256 لجزئه السرّي. كذلك لا تُخزَّن رموز access وrefresh الخاصة بالذكاء الاصطناعي المتصل بنص صريح؛ والاتصال مُقيَّد بمستوى الوصول المختار، ويمكن لمالك الحساب إبطاله.

يُفكّ تشفير المفتاح على الخادم فقط، في الذاكرة؛ ولا تُرجعه واجهات API العادية أبدًا. السبيل الوحيد للحصول عليه هو دالة تصدير متعمَّدة («خذ مفتاحك»)، محميّة بتسجيل الدخول إضافةً إلى رمز لمرة واحدة عبر البريد (يُخزَّن الرمز كتجزئة HMAC فقط، ويُقارَن بزمن ثابت، وصلاحيته 10 دقائق، و5 محاولات). فالمفتاح يمكن استرجاعه عمدًا، لكنه لا «يتسرّب» عبر طلب عادي.

قبل أن تتغيّر حالة الخادم وقبل أي عمليات شبكة في الخلفية، تُصفَّر الحقول التي تحمل مفتاح الإدارة بشكل متزامن. وإن لم تؤكّد قاعدة البيانات المحو، تُرجِع العملية خطأً ويمكن إعادة المحاولة. يظل الحذف «ناعمًا»: يُحتفَظ بالصفّ وببيانات الخدمة غير السرّية. وهذا لا يعني محوًا فيزيائيًا لنسخ احتياطية أُنشئت بالفعل — فدورة حياتها تحكمها سياسة الاحتفاظ بالنسخ الاحتياطية.

في مسارات اللوحة يُشتَقّ partner_id من الجلسة المُوقَّعة، وفي Partner API من مفتاح API مُتحقَّق منه أو من اتصال ذكاء اصطناعي عبر OAuth. لا يُؤخَذ مُعرّف المالك من المسار أو معاملات الاستعلام (query) أو جسم الطلب. وتُقيَّد مفاتيح API كذلك بنطاق الصلاحيات (scope) ومدة الصلاحية والباقة؛ أما الذكاء الاصطناعي المتصل فتُحسَب مجموعة صلاحياته عند كل طلب انطلاقًا من المستوى الذي اختاره المالك.

قبل إرجاع أو تغيير أي شيء، يعيد النظام التحقّق من أن الخادم أو العنقود أو inbound أو المسار أو مستخدم VPN أو الدفعة تخصّ هذا الحساب. واستعلامات قاعدة البيانات مُقيَّدة بـ partner_id، والمفاتيح الفريدة والأجنبية المركّبة ترفض الروابط غير الصالحة بين الشركاء. وتشترط مصفوفة التصريح في الاختبارات وجود سيناريو IDOR صريح لكل نقطة نهاية تتضمّن مُعرّف مورد.

تحفّظ صادق: هذا مُتحقَّق منه عبر تدقيق للشيفرة على طول مسار الطلب، لا عبر اختبار اختراق علني — لذا فإن SR-16، كسائرها، مفتوح للدحض في برنامج مكافآت الثغرات.

لإعداد كل شيء آليًا (تثبيت Xray+Reality، وتطبيق الإعداد، وقراءة المقاييس) تملك اللوحة وصولًا إداريًا كاملًا على الخادم (بما يعادل root، عبر مستخدم خدمة يملك sudo بلا كلمة مرور). هذا ضروري للإدارة، ولا نسمّيه «محدودًا».

ما يخفّض الخطر: تُمرَّر الأسرار إلى الخادم عبر stdin الخاص بالعملية فقط (لا كوسائط أوامر — فهي غير مرئية في قائمة العمليات)؛ وبعد التثبيت الأولي، يتحقّق كل اتصال إدارة من مفتاح مضيف الخادم المُثبَّت — ويُرفَض تبديل الخادم «في المنتصف». وما تتحكّم به أنت: يقوم الوصول على مفتاح يمكنك إبطاله في أي وقت — بحذف الخادم (يُصفَّر المفتاح) أو ببساطة بحذف الـ VPS لدى مستضيفك (فيختفي كل شيء).

حسابات VPN نفسها (VLESS/Reality) تُنشَأ وتعيش في Marzban على خادمك الرئيسي. مركزيًا نُخزّن فقط ما يلزم لإصدار رابط اشتراك: رمز اشتراك عشوائي ولقطة مُشفَّرة من اعتمادات الوكيل (ذاكرة مؤقتة؛ مصدر الحقيقة هو Marzban لديك). ليس لدينا أي سجلّ لحركة المرور أو عناوين IP أو زيارات المستخدمين.

لا يُحفَظ لدينا البريد الإلكتروني للمستخدم النهائي: فاسم حسابه مُشتقّ بصورة لا يمكن عكسها ولا يتضمّن أي عنوان. رسالة رمز الدخول نرسلها نحن، لذا يمرّ العنوان عبر طابور الإرسال ويُحذف منه فور الإرسال — ولا يبقى للتعرّف على مستخدم عائد سوى بصمة لا يمكن عكسها، ولا يمكن استرجاع العنوان منها. أما الحالة الوحيدة التي يبقى فيها العنوان فنذكرها صراحةً: عند الدفع يصل ضمن webhook الدفع ويُسجَّل في سجل المدفوعات بمدة حفظ محدودة.

نحتفظ بهذه البيانات الخدمية فقط بالقدر اللازم ونمحوها تلقائيًا: يُزال البريد من قائمة الإرسال فور الإرسال، ويُزال محتوى حدث الدفع بعد معالجته، أما الأحداث التي تنتظر إعادة المحاولة فتُحفَظ حتى نافذة مدتها 90 يومًا. يمكنك بنفسك حذف حسابك مع جميع بياناته من قسم «الإعدادات المتقدمة»، مع تأكيد الحذف برمز من بريدك الإلكتروني (للتفاصيل، انظر الخطر 7). ونحن نكشف عن ذلك بصراحة بدلًا من إخفائه خلف صياغات غامضة.

منصّة CreateYourVPN لا تتلقّى ولا تُخزّن معلومات عن المواقع التي تزورها أنت أو مستخدموك. مخطّط استقبال المقاييس مغلق: فهو لا يملك فيزيائيًا حقولًا لعناوين IP أو النطاقات أو الزيارات — فقط تجميعات (عدد المتصلين الفريد، إجمالي البايتات، CPU/RAM/الحِمل). كل عقدة تُصادِق برمز HMAC مرتبط بمُعرّفها الخاص ولا يمكنها كتابة مقاييس إلا لنفسها. موازِن الحمل على العقدة (HAProxy) يعمل كموجّه TCP حسب SNI ولا يفكّ تشفير حركة المرور. وعلى الخادم نفسه، تُحفَظ سجلّات النظام لمدة لا تتجاوز ساعة تقريبًا ولا تُمرَّر إلى syslog.

وراء مستوى المنصّة، لا تحتفظ الخوادم بسجلّ زيارات أيضًا: تسجيل وصول Xray مُعطَّل بالإجبار عند كل دفعة إعداد (تضبط المنصّة log.access على none)، لذا لا يُسجّل الوكيل الطرفي العناوين التي يتّصل بها المستخدمون. هذا مفروض في الشيفرة ومنشور على كامل الأسطول.

لفهم كيفية استخدام الموقع واللوحة نستعمل Google Analytics (لافتة الكوكيز تُنبّه إلى جمع الكوكيز والإحصاءات؛ التفاصيل في سياسة الخصوصية). في صفحات موافقة OAuth يُمنَع تحميل التحليلات قسرًا: إذ يحتوي عنوان URL على مُعرّف قصير العمر لطلب ربط الذكاء الاصطناعي، ولا يجوز تمريره إلى طرف ثالث. لا مُتتبِّعات خارجية أخرى: لا Sentry ولا PostHog ولا Mixpanel ولا بكسلات إعلانية. الخلفية لا تحتوي أي قياس عن بُعد من طرف ثالث، ومتاجر المستخدمين النهائيين غير مشمولة بالتحليلات.

تحفّظ: يتلقّى GA عنوان IP الخاص بك (على جانب Google) وعناوين صفحات اللوحة المعروضة؛ وروابط اللوحة تحتوي مُعرّف عنقود فقط، لا بريدًا إلكترونيًا.

الدفع وكل بيانات البطاقة تُعالَج على جانب المزوّد المتصل (lava.top). لا يصلنا إلا حدث webhook مُتحقَّق منه: تُثبَت أصالته بالطريقة التي يدعمها المزوّد المعني، وذلك قبل أي تغيير في الرصيد أو الوصول. لا نتلقّى رقم البطاقة الكامل (PAN) ولا CVV. إعادة تسليم الحدث نفسه لا تسبّب منحًا مزدوجًا: فالأحداث تُزال منها التكرارات.

تحفّظ: قد يُضمِّن المزوّد بيانات وصفية للبطاقة (العلامة وآخر 4 أرقام) واسم الدافع وبريده في جسم الـ webhook. يحتاج العامل الجسم الأصلي إلى أن تكتمل المعالجة؛ وبعد المعالجة الناجحة يُحذَف مع تلميح البريد. أما الأحداث التي تنتظر إعادة محاولة أو مراجعة يدوية فتحتفظ بالجسم الأصلي فقط حتى نهاية نافذة الاحتفاظ (90 يومًا دون نشاط)، وبعدها تُمحى بيانات البطاقة الوصفية وبريد الدافع تلقائيًا. عبارة «لا يوجد رقم بطاقة كامل» صحيحة، لكن ذلك خاصية للمزوّدين (نحن لا نُرشّح الجسم بأنفسنا)؛ أما «لا نرى شيئًا عن البطاقة إطلاقًا» فليست كذلك.

للحساب نُخزّن البريد الإلكتروني، ووقت آخر تسجيل دخول، ووضع الواجهة، والإعدادات؛ ولأجل الفوترة — الرصيد و Telegram إذا حُدِّد لعمليات الشحن. ولحماية الحساب تتضمّن الجلسة النشطة وقت إنشائها ووقت آخر نشاط، وعنوان IP، وuser-agent. ويُحفَظ سجلّ محاولات الدخول الناجحة والفاشلة، مع السمات التقنية نفسها، لمدة 90 يومًا.

لا يوجد سجلّ عام للنقرات في اللوحة. وتوجد على حدة سجلّات مخصّصة: طلبات Partner API — آخر 500 مُدخَل بحد أقصى ونحو 25 ساعة، وأحداث البنية التحتية ونتائج التشخيص — 7 أيام بحد أقصى، وإجراءات الذكاء الاصطناعي المتصل — ما دام الحساب قائمًا. وقبل تسجيل إجراءات الذكاء الاصطناعي تُحذَف كلمات المرور والرموز والمفاتيح وروابط الاشتراك، وتُخفى عناوين البريد الإلكتروني للمستخدمين جزئيًا.

جدار الحماية يرفض الوارد افتراضيًا. المفتوح للخارج: 443 (VPN، Xray+Reality)، وSSH على منفذ غير قياسي (12011 افتراضيًا)، و — على الخادم الرئيسي — منفذ لوحة مسؤول Marzban، لعناوين IP الخاصة بمستوى التحكّم فقط. المنفذ 80 يُفتَح على حدة فقط في وضع Let's Encrypt لأجل HTTP-01. والمنفذ 22 يُغلَق بعد نقل SSH.

منافذ إدارة العقدة مفتوحة فقط لعنوان IP الخاص بالخادم الرئيسي، لا للخارج (فشل هذا التقييد يُجهض التثبيت). وإن لم يُفعَّل جدار الحماية، يفشل التثبيت. صدى ICMP مقيَّد فقط لـ IPv4؛ ولا نَعِد بأن الخادم «غير مرئي»، ويُحتفَظ بـ ICMP الخاص بـ IPv6 كي يعمل IPv6 على نحو صحيح.

الترقيات غير المراقَبة تُثبّت تحديثات حِزَم الأمان آليًا. تحفّظ: أُوقفت إعادة التشغيل الآلية عمدًا (كي لا تُعاد نواة غير مُتحقَّق منها من تلقاء نفسها) — ما يعني أن الإصلاحات التي تتطلّب إعادة تشغيل (النواة، وأحيانًا OpenSSH) لا تُطبَّق إلا بعد إعادة تشغيل يدوية أو مجدوَلة. عبارة «الترقيع الآلي» صحيحة لفضاء المستخدم، لا لِما يتطلّب إعادة تشغيل.

لا ندّعي أن الخادم «غير مرئي» أو «لا يمكن مسحه». المنفذ 443 مفتوح ويردّ على اتصال TCP كأي خادم ويب. أما خاصية «عند اتصال غير صحيح يبدو كموقع عادي لا صلة له» فيوفّرها بروتوكول Reality داخل Xray — وهو مكوّن منفصل لا نحوّله إلى مطلق.

تسجيل دخول الشريك يتم برمز من 6 أرقام لمرة واحدة يُرسَل إلى البريد. لا كلمة مرور للحساب. لا ينطبق هذا على الاعتمادات الداخلية للمكوّنات المُدارة، مثل كلمة مرور مسؤول الخادم المُولّدة. الرموز تُولَّد بمولّد تشفيري؛ ولا تُخزَّن إلا تجزئتها بـ HMAC، وتُجرى المقارنة بزمن ثابت. عند النجاح يُحذَف الرمز فورًا، وبعد 5 محاولات خاطئة يُبطَل مبكّرًا. حدّ معدّل الإصدار يُحسَب على العنوان الكامل وعلى صندوق البريد الفعلي معًا: فتبديل IP والنقاط في Gmail ووسوم plus لا تمنح حدًّا منفصلًا.

رمز الجلسة يقبع في كوكي HttpOnly و Secure (لا تستطيع JS قراءته)، ويُتحقَّق منه في الخلفية (لا عند الحافة فقط). مهلة الخمول والخروج التلقائي عند عدم النشاط مُنفَّذان على العميل، لا على الخادم. الرمز مُوقَّع بـ HS256؛ وعند التحقّق نرفض بصرامة أي خوارزمية أخرى (بما فيها «none») — فهجوم تبديل الخوارزمية الكلاسيكي لا يمرّ. رمز المتجر ورمز لوحة الشريك مفصولان بحسب الجمهور (audience): رمز المستخدم النهائي لا يمكنه تقنيًا الوصول إلى API الشريك (والعكس صحيح). والشريك المحذوف يُرفَض حتى بوجود رمز حيّ.

لكل جلسة شريك مُعرّف ثابت على الخادم يبقى كما هو عند تمديد الرمز. تسجيل الخروج العادي يُبطل الجلسة الحالية بأكملها، لا إصدارًا واحدًا فقط من الرمز. في قسم «جلسات الحساب» يظهر الجهاز وعنوان IP ووقت تسجيل الدخول وآخر نشاط؛ ويمكن إنهاء أي جلسة على حدة. أما إجراء «تسجيل الخروج من كل الأجهزة» فيُنهي جميع الجلسات ويفصل خدمات الذكاء الاصطناعي المتصلة.

يُحفَظ سجلّ عمليات الدخول لمدة 90 يومًا ويعرض عمليات الدخول الناجحة، والرموز الخاطئة والمنتهية الصلاحية، وحالات تجاوز عدد المحاولات. وعند ظهور مؤشرات على إعادة استخدام إصدار سبق استبداله، يَعُدّ النظام الجلسة منسوخة، فيُنهي جميع الجلسات واتصالات الذكاء الاصطناعي ويُرسل إشعارًا إلى المالك.

لا رموز جلسات في التخزين المحلي للمتصفّح، بل إعدادات الواجهة فقط. طبقة الخادم في Next.js هي التي تضع الرمز في كوكي HttpOnly؛ ولا يتلقّى المتصفّح العنوان الداخلي للخلفية، بل يصل إليها عبر Server Actions. ولا يسمح CORS للمصادر (origin) الأخرى بقراءة استجابات API التي تحتوي على بيانات مُصرَّح بها.

ثمة استثناءات مقصودة يتحكّم بها المالك نفسه: تصدير مفتاح SSH الخاص بعد الرمز المُرسَل بالبريد (SR-4)، ومفتاح Partner API الجديد الذي يُعرَض سرّه الكامل في المتصفّح مرة واحدة عند إنشائه. بعد ذلك لا يمكن استرجاعه من قاعدة البيانات — إذ لا يبقى فيها سوى التجزئة. نطاق API العام متاح من الإنترنت بحكم وظيفته، لكنه لا يُرجِع أي بيانات محمية من دون جلسة سارية أو مفتاح API أو رمز OAuth.

تُقدَّم مضيفات CreateYourVPN العامة عبر HTTPS مع HSTS (بمدة max-age سنتين، وincludeSubDomains). وكل واجهة ويب نستضيفها — موقع المنصة، ولوحة الشركاء، ومتاجر الشركاء سواء على نطاقاتنا الفرعية أو على نطاق الشريك الخاص — إضافةً إلى نطاق الـ API، ترسل المجموعة نفسها من ترويسات الأمان: سياسة Content-Security-Policy (على الـ API تكون default-src 'none'؛ وعلى الواجهات تمنع التضمين داخل إطار iframe وتثبّت base-uri وform-action)، وX-Content-Type-Options: nosniff، وX-Frame-Options، وسياسة Referrer-Policy محكمة (no-referrer على الـ API؛ وstrict-origin-when-cross-origin على الواجهات التي ترسل أيضًا سياسة Permissions-Policy تقييدية).

هذا يعمل فعليًا في الإنتاج على كل تلك المضيفات، ويمكن التحقق منه بشكل مستقل — بأي أداة لفحص ترويسات HTTP أو بخدمة مثل SSL Labs.

يتصل تطبيق الذكاء الاصطناعي عبر OAuth ولا يحصل على ملفات cookie الخاصة بلوحتك. في صفحة الموافقة تختار أحد ثلاثة مستويات: العرض فقط؛ العرض والإعداد؛ الحذف ومنح الوصول. ويتحقّق الخادم من الصلاحيات عند كل استدعاء. تتطلّب عمليات الحذف الحرجة رمزًا إضافيًا لمرة واحدة يُرسَل بالبريد، ويمكن إبطال الاتصال بالكامل من قسم «الذكاء الاصطناعي المتصل».

يُسجَّل كل استدعاء لأداة في سجلّ يراه المالك، مع النتيجة ونسخة آمنة من الوسائط. وتُزال كلمات المرور والرموز ومفاتيح API والمفاتيح الخاصة وروابط الاشتراك قبل التسجيل؛ وتُخفى عناوين البريد الإلكتروني للمستخدمين جزئيًا. ومع ذلك يظل تطبيق الذكاء الاصطناعي الذي اخترته خدمةً تابعة لطرف ثالث: فالبيانات التي كلّفته عن قصد بقراءتها أو تغييرها تُعالَج أيضًا وفق قواعد مزوّده.