Επαληθεύσιμοι ισχυρισμοί.

Ο κωδικός πρόσβασης χρειάζεται μόνο για να ανοίξει η πρώτη σύνδεση SSH και να εγκατασταθεί ένας χρήστης υπηρεσίας. Μεταβιβάζεται ως πιστοποίηση SSH για τη σύνδεσή μας — όχι ως όρισμα script ή μεταβλητή περιβάλλοντος. Η βάση δεδομένων μας δεν έχει πεδίο γι' αυτόν· δεν εισέρχεται στα περιβάλλοντα εκτέλεσης των scripts και δεν καταγράφεται στα αρχεία καταγραφής (τα σφάλματα σύνδεσης περιέχουν μόνο τη διεύθυνση και τη θύρα, ποτέ τον κωδικό πρόσβασης). Στη μνήμη διαγράφεται (κατά το δυνατόν) μετά τη χρήση — αυτό είναι άμυνα σε βάθος, όχι εγγύηση: η Go ενδέχεται να κρατά αντίγραφα της τιμής στο heap μέχρι τη συλλογή απορριμμάτων.

Ειλικρινής επιφύλαξη: αυτός παραμένει ο κωδικός πρόσβασης root στον διακομιστή σας. Μετά την εγκατάσταση απενεργοποιούμε τη σύνδεση με κωδικό πρόσβασης και ως root μέσω SSH, αλλά δεν αλλάζουμε τον ίδιο τον κωδικό πρόσβασης — αλλάξτε τον μόνοι σας αν θέλετε. Το «δεν τον αποθηκεύουμε» είναι αληθές· το «έπαψε να είναι μυστικό» δεν είναι.

PasswordAuthentication no, PermitRootLogin no, το SSH μεταφέρεται σε μη τυπική θύρα (12011 από προεπιλογή), ενεργοποιημένο fail2ban (αποκλεισμός μίας ώρας μετά από 5 αποτυχίες), σύνδεση μόνο με κλειδί. Το δημόσιο κλειδί επικυρώνεται αυστηρά πριν από τη χρήση: οι χαρακτήρες αλλαγής γραμμής (προστασία από την παρεμβολή επιπλέον κλειδιών στο authorized_keys) και τα συντακτικά μη έγκυρα κλειδιά απορρίπτονται.

Προστασία από κλείδωμα: η θύρα 22 δεν κλείνει μέχρι ο πυρήνας να επιβεβαιώσει (μέσω ss) ότι η νέα θύρα SSH ακούει πραγματικά· η διαμόρφωση ελέγχεται με sshd -t και ο κανόνας sudo με visudo -cf, και τα δύο αναιρούνται σε περίπτωση σφάλματος.

Το πάνελ δεν λειτουργεί με τον κωδικό πρόσβασής σας, αλλά με ένα ξεχωριστό κλειδί (ed25519) που παράγει το ίδιο. Το ιδιωτικό μέρος βρίσκεται στη βάση δεδομένων κρυπτογραφημένο με AES-256-GCM. Το κλειδί κρυπτογράφησης (KEK) αποθηκεύεται ξεχωριστά από τη βάση δεδομένων — σε μια μεταβλητή περιβάλλοντος διακομιστή — και στην παραγωγή είναι υποχρεωτικό (δεν υπάρχει μη ασφαλής προεπιλογή: χωρίς KEK το κρυπτογραφικό υποσύστημα απλώς δεν ξεκινά). Η ίδια κρυπτογράφηση προστατεύει τα βαριά μυστικά στη βάση δεδομένων — τον κωδικό πρόσβασης/token/JWT διαχειριστή του Marzban, τα κλειδιά Reality, τα κλειδιά των παρόχων πληρωμών, την προσωρινή μνήμη διαπιστευτηρίων proxy, τη διαμόρφωση αντιγράφων ασφαλείας.

Η κρυπτογράφηση δεν αποκρύπτει απλώς, αλλά πιστοποιεί τα δεδομένα (GCM auth tag): η παραποίηση ενός κρυπτογραφημένου πεδίου εντοπίζεται κατά την αποκρυπτογράφηση και απορρίπτεται. Κάθε πεδίο κρυπτογραφείται με ένα νέο τυχαίο nonce· η τιμή του KEK δεν φτάνει ποτέ στα αρχεία καταγραφής — μόνο το σύντομο id της.

Σχετικά με τα tokens δυνατοτήτων: το token συνδρομής /sub είναι ένα bearer μυστικό. Για την αναζήτηση αποθηκεύουμε μόνο το SHA-256 του, ενώ το αντίγραφο που χρειάζεται για την εκ νέου εμφάνιση ενός ήδη εκδοθέντος συνδέσμου διατηρείται ως κρυπτοκείμενο AES-GCM. Οι παλαιότερες εγγραφές απλού κειμένου μεταφέρονται στη νέα μορφή, με fail-closed, πριν ξεκινήσει ο διακομιστής HTTP. Το αναγνωριστικό URL του payment-webhook αποθηκεύεται σε απλή μορφή, αλλά δεν πιστοποιεί από μόνο του ένα συμβάν: η γνησιότητα επαληθεύεται ξεχωριστά με μια υπογραφή HMAC.

Τα μυστικά των κλειδιών του Partner API αποθηκεύονται σε μη αναστρέψιμη μορφή: το πλήρες κλειδί εμφανίζεται μόνο μία φορά, κατά την έκδοση, και στη βάση δεδομένων παραμένει το SHA-256 του μυστικού του μέρους. Τα access και refresh tokens των συνδεδεμένων εφαρμογών AI επίσης δεν αποθηκεύονται ως απλό κείμενο· η σύνδεση περιορίζεται στο επιλεγμένο επίπεδο πρόσβασης και μπορεί να ανακληθεί από τον κάτοχο του λογαριασμού.

Το κλειδί αποκρυπτογραφείται μόνο στον διακομιστή, στη μνήμη· τα συνηθισμένα API δεν το επιστρέφουν ποτέ. Ο μόνος τρόπος για να το αποκτήσετε είναι μια σκόπιμη λειτουργία εξαγωγής («πάρε το κλειδί σου»), προστατευμένη με σύνδεση συν έναν κωδικό email μίας χρήσης (ο κωδικός αποθηκεύεται μόνο ως HMAC hash, συγκρίνεται σε σταθερό χρόνο, TTL 10 λεπτών, 5 προσπάθειες). Έτσι, το κλειδί μπορεί να ανακτηθεί σκόπιμα, αλλά όχι να «διαρρεύσει» μέσω ενός κανονικού αιτήματος.

Πριν αλλάξει η κατάσταση του διακομιστή και πριν από οποιεσδήποτε δικτυακές λειτουργίες παρασκηνίου, τα πεδία που περιέχουν το κλειδί διαχείρισης μηδενίζονται σύγχρονα. Αν η βάση δεδομένων δεν επιβεβαιώσει την εκκαθάριση, η λειτουργία επιστρέφει σφάλμα και μπορεί να επαναληφθεί. Η διαγραφή παραμένει «ήπια» (soft): η γραμμή και τα μη μυστικά δεδομένα υπηρεσίας διατηρούνται. Αυτό δεν σημαίνει φυσική διαγραφή των αντιγράφων ασφαλείας που έχουν ήδη δημιουργηθεί — ο κύκλος ζωής τους διέπεται από την πολιτική διατήρησης αντιγράφων ασφαλείας.

Στις διαδρομές του πάνελ το partner_id προκύπτει από την υπογεγραμμένη συνεδρία, ενώ στο Partner API από το επαληθευμένο κλειδί API ή τη σύνδεση OAuth της εφαρμογής AI. Το αναγνωριστικό του κατόχου δεν λαμβάνεται από τη διαδρομή, τις παραμέτρους ερωτήματος (query) ή το σώμα του αιτήματος. Τα κλειδιά API περιορίζονται επιπλέον από το εύρος δικαιωμάτων (scope), την περίοδο ισχύος και το πακέτο· για μια συνδεδεμένη εφαρμογή AI το σύνολο δικαιωμάτων υπολογίζεται σε κάθε αίτημα από το επίπεδο που επέλεξε ο κάτοχος.

Πριν επιστρέψει ή αλλάξει οτιδήποτε, το σύστημα επανελέγχει ότι ο διακομιστής, cluster, inbound, route, χρήστης VPN ή πληρωμή ανήκει σε αυτόν τον λογαριασμό. Τα ερωτήματα της βάσης δεδομένων περιορίζονται βάσει του partner_id, και τα σύνθετα μοναδικά και ξένα κλειδιά απορρίπτουν τους μη έγκυρους διασυνδέσμους μεταξύ συνεργατών. Ο πίνακας εξουσιοδότησης στις δοκιμές απαιτεί ρητό σενάριο IDOR για κάθε endpoint που δέχεται αναγνωριστικό πόρου.

Ειλικρινής επιφύλαξη: αυτό επαληθεύεται με έναν έλεγχο κώδικα σε όλη τη διαδρομή του αιτήματος, όχι με δημόσιο penetration test — έτσι το SR-16, όπως και τα υπόλοιπα, είναι ανοιχτό σε αντίκρουση στο bug bounty.

Για να διαμορφώσει τα πάντα αυτόματα (εγκατάσταση Xray+Reality, εφαρμογή διαμόρφωσης, ανάγνωση μετρήσεων) το πάνελ διαθέτει πλήρη διαχειριστική πρόσβαση στον διακομιστή (ισοδύναμη με root, μέσω ενός χρήστη υπηρεσίας με sudo χωρίς κωδικό πρόσβασης). Αυτό είναι απαραίτητο για τη διαχείριση, και ΔΕΝ το αποκαλούμε «περιορισμένο».

Τι μειώνει τον κίνδυνο: τα μυστικά μεταβιβάζονται στον διακομιστή μόνο μέσω του stdin της διεργασίας (όχι ως ορίσματα εντολών — δεν είναι ορατά στη λίστα διεργασιών)· μετά την αρχική εγκατάσταση, κάθε σύνδεση διαχείρισης επαληθεύει το καρφιτσωμένο (pinned) host key του διακομιστή — μια αντικατάσταση διακομιστή «στη μέση» απορρίπτεται. Τι ελέγχετε εσείς: η πρόσβαση στηρίζεται σε ένα κλειδί που μπορείτε να ανακαλέσετε ανά πάσα στιγμή — διαγράφοντας τον διακομιστή (το κλειδί μηδενίζεται) ή απλώς διαγράφοντας το VPS στον host σας (τότε όλα εξαφανίζονται).

Οι ίδιοι οι λογαριασμοί VPN (VLESS/Reality) δημιουργούνται και βρίσκονται στο Marzban στον master διακομιστή σας. Κεντρικά αποθηκεύουμε μόνο ό,τι απαιτείται για την έκδοση ενός συνδέσμου συνδρομής: ένα τυχαίο token συνδρομής και ένα κρυπτογραφημένο στιγμιότυπο των διαπιστευτηρίων proxy (μια προσωρινή μνήμη· η πηγή αλήθειας είναι το δικό σας Marzban). Δεν έχουμε ιστορικό κίνησης, IP ή επισκέψεων χρηστών.

Η διεύθυνση email ενός τελικού χρήστη δεν αποθηκεύεται σε εμάς: το όνομα του λογαριασμού του παράγεται μη αντιστρεπτά και δεν περιέχει διεύθυνση. Το email με τον κωδικό σύνδεσης το στέλνουμε εμείς, οπότε η διεύθυνση περνά από την ουρά αποστολής μας και αφαιρείται από αυτήν αμέσως μετά την αποστολή — για να αναγνωρίσουμε έναν χρήστη που επιστρέφει μένει μόνο ένα μη αντιστρεπτό αποτύπωμα, από το οποίο η διεύθυνση δεν ανακτάται. Τη μία περίπτωση όπου μια διεύθυνση παραμένει την ονομάζουμε ευθέως: κατά την πληρωμή φτάνει στο webhook πληρωμής και καταχωρείται στο αρχείο πληρωμών με περιορισμένο χρόνο διατήρησης.

Αυτά τα δεδομένα υπηρεσίας τα διατηρούμε μόνο για όσο χρειάζεται και τα διαγράφουμε αυτόματα: το email αφαιρείται από την ουρά αποστολής αμέσως μετά την αποστολή, το περιεχόμενο ενός συμβάντος πληρωμής μετά την επεξεργασία, και τα συμβάντα που αναμένουν επανάληψη εντός ενός παραθύρου 90 ημερών. Μπορείτε να διαγράψετε μόνοι σας τον λογαριασμό σας μαζί με όλα τα δεδομένα του, στην ενότητα «Ρυθμίσεις για προχωρημένους», επιβεβαιώνοντας με κωδικό από το email σας (για λεπτομέρειες, δείτε τον κίνδυνο 7). Το αποκαλύπτουμε ανοιχτά αντί να το κρύβουμε πίσω από αόριστες διατυπώσεις.

Η πλατφόρμα CreateYourVPN δεν λαμβάνει ούτε αποθηκεύει πληροφορίες σχετικά με τις ιστοσελίδες που επισκέπτεστε εσείς ή οι χρήστες σας. Το σχήμα λήψης μετρήσεων είναι κλειστό: δεν έχει φυσικά πεδία για IP, domains ή επισκέψεις — μόνο συγκεντρωτικά στοιχεία (πλήθος μοναδικών online, συνολικά bytes, CPU/RAM/φορτίο). Κάθε κόμβος πιστοποιείται με ένα token HMAC συνδεδεμένο με το δικό του id και μπορεί να γράψει μετρήσεις μόνο για τον εαυτό του. Ο εξισορροπητής στον κόμβο (HAProxy) λειτουργεί ως δρομολογητής TCP βάσει SNI και δεν αποκρυπτογραφεί την κίνηση. Στον ίδιο τον διακομιστή, τα αρχεία καταγραφής συστήματος διατηρούνται για όχι περισσότερο από περίπου μία ώρα και δεν προωθούνται στο syslog.

Πέρα από το επίπεδο της πλατφόρμας, ούτε οι διακομιστές κρατούν ημερολόγιο επισκέψεων: η καταγραφή προσβάσεων του Xray απενεργοποιείται αναγκαστικά σε κάθε ώθηση διαμόρφωσης (η πλατφόρμα ορίζει το log.access σε none), οπότε ο περιφερειακός proxy δεν καταγράφει σε ποιες διευθύνσεις συνδέονται οι χρήστες. Αυτό επιβάλλεται στον κώδικα και έχει αναπτυχθεί σε όλον τον στόλο.

Για να κατανοήσουμε πώς χρησιμοποιούνται ο ιστότοπος και το πάνελ, εφαρμόζουμε το Google Analytics (το banner cookies προειδοποιεί για τη συλλογή cookies και στατιστικών· λεπτομέρειες υπάρχουν στην Πολιτική Απορρήτου). Στις σελίδες συναίνεσης OAuth η φόρτωση των analytics απενεργοποιείται αναγκαστικά: το URL περιέχει ένα βραχύβιο αναγνωριστικό του αιτήματος σύνδεσης εφαρμογής AI, το οποίο δεν επιτρέπεται να διαβιβάζεται σε τρίτους. Δεν υπάρχουν άλλοι trackers τρίτων: κανένα Sentry, PostHog, Mixpanel ή διαφημιστικά pixels. Το backend δεν έχει τηλεμετρία τρίτων, και οι βιτρίνες των τελικών χρηστών δεν καλύπτονται από analytics.

Επιφύλαξη: το GA λαμβάνει το IP σας (από την πλευρά της Google) και τις διευθύνσεις των σελίδων του πάνελ που προβλήθηκαν· τα URL του πάνελ περιέχουν μόνο ένα αναγνωριστικό cluster, όχι email.

Η πληρωμή και όλα τα δεδομένα της κάρτας διαχειρίζονται από την πλευρά του συνδεδεμένου παρόχου (lava.top). Λαμβάνουμε μόνο ένα επαληθευμένο συμβάν webhook: η γνησιότητά του διαπιστώνεται με τον τρόπο που υποστηρίζει ο συγκεκριμένος πάροχος, πριν αλλάξει το υπόλοιπο ή η πρόσβαση. Δεν λαμβάνουμε τον πλήρη αριθμό κάρτας (PAN) ή το CVV. Η επαναπαράδοση του ίδιου συμβάντος δεν προκαλεί διπλή χορήγηση: τα συμβάντα αποδιπλασιάζονται.

Επιφύλαξη: ο πάροχος ενδέχεται να συμπεριλάβει μεταδεδομένα κάρτας (μάρκα και τα τελευταία 4 ψηφία) καθώς και το όνομα και το email του πληρωτή στο σώμα του webhook. Το αρχικό σώμα χρειάζεται από τον worker μέχρι να ολοκληρωθεί η επεξεργασία· μετά την επιτυχή επεξεργασία διαγράφεται μαζί με την ένδειξη του email. Τα συμβάντα που αναμένουν επανάληψη ή χειροκίνητο έλεγχο διατηρούν το αρχικό σώμα μόνο μέχρι το τέλος του παραθύρου διατήρησης (90 ημέρες χωρίς δραστηριότητα), έπειτα από το οποίο τα μεταδεδομένα της κάρτας και το email του πληρωτή διαγράφονται αυτόματα. Το «δεν υπάρχει πλήρης αριθμός κάρτας» είναι αληθές, αλλά αυτό είναι ιδιότητα των παρόχων (δεν φιλτράρουμε εμείς οι ίδιοι το σώμα)· το «δεν βλέπουμε τίποτα απολύτως για την κάρτα» δεν είναι.

Για τον λογαριασμό αποθηκεύονται το email, ο χρόνος τελευταίας σύνδεσης, η λειτουργία διεπαφής και οι ρυθμίσεις· για τη χρέωση — το υπόλοιπο και το Telegram, αν έχει δηλωθεί για ανανεώσεις υπολοίπου. Για την προστασία του λογαριασμού, η ενεργή συνεδρία περιέχει τον χρόνο δημιουργίας και τελευταίας δραστηριότητας, τη διεύθυνση IP και το user-agent. Το ιστορικό επιτυχών και αποτυχημένων προσπαθειών σύνδεσης με τα ίδια τεχνικά χαρακτηριστικά διατηρείται για 90 ημέρες.

Γενικό ιστορικό κλικ στο πάνελ δεν υπάρχει. Χωριστά υπάρχουν αρχεία καταγραφής για συγκεκριμένους σκοπούς: αιτήματα στο Partner API — έως τις 500 πιο πρόσφατες εγγραφές και περίπου 25 ώρες, συμβάντα υποδομής και αποτελέσματα διαγνωστικών — έως 7 ημέρες, ενέργειες συνδεδεμένων εφαρμογών AI — μαζί με τον λογαριασμό. Πριν από την καταγραφή των ενεργειών AI αφαιρούνται κωδικοί πρόσβασης, tokens, κλειδιά και σύνδεσμοι συνδρομής, ενώ τα email των χρηστών αποκρύπτονται μερικώς.

Το τείχος προστασίας απαγορεύει τις εισερχόμενες συνδέσεις από προεπιλογή. Ανοιχτά προς τα έξω: 443 (VPN, Xray+Reality), SSH σε μη τυπική θύρα (12011 από προεπιλογή) και — στον master διακομιστή — η θύρα του πάνελ διαχείρισης του Marzban, μόνο για IP του επιπέδου ελέγχου (control-plane). Η θύρα 80 ανοίγει ξεχωριστά μόνο σε λειτουργία Let's Encrypt για HTTP-01. Η θύρα 22 κλείνει αφού μεταφερθεί το SSH.

Οι θύρες διαχείρισης του κόμβου είναι ανοιχτές μόνο προς το IP του master διακομιστή, όχι προς τα έξω (μια αποτυχία αυτής της σύνδεσης ματαιώνει την εγκατάσταση). Αν το τείχος προστασίας δεν ενεργοποιηθεί, η εγκατάσταση αποτυγχάνει. Το ICMP echo περιορίζεται μόνο για IPv4· δεν υποσχόμαστε ότι ο διακομιστής είναι «αόρατος», και το ICMP για IPv6 διατηρείται ώστε να λειτουργεί σωστά το IPv6.

Οι αυτόματες αναβαθμίσεις (unattended upgrades) εγκαθιστούν αυτόματα τις ενημερώσεις πακέτων ασφαλείας. Επιφύλαξη: η αυτόματη επανεκκίνηση είναι σκόπιμα απενεργοποιημένη (ώστε ένας μη επαληθευμένος πυρήνας να μην επανεκκινεί μόνος του) — που σημαίνει ότι οι διορθώσεις που απαιτούν επανεκκίνηση (πυρήνας, μερικές φορές OpenSSH) εφαρμόζονται μόνο μετά από χειροκίνητη ή προγραμματισμένη επανεκκίνηση. Το «αυτόματο patching» ισχύει για το userland, όχι για ό,τι απαιτεί επανεκκίνηση.

ΔΕΝ ισχυριζόμαστε ότι ο διακομιστής είναι «αόρατος» ή ότι «δεν μπορεί να σαρωθεί». Η θύρα 443 είναι ανοιχτή και απαντά σε μια σύνδεση TCP όπως κάθε web server. Η ιδιότητα «σε μια εσφαλμένη σύνδεση μοιάζει με μια συνηθισμένη, άσχετη ιστοσελίδα» παρέχεται από το πρωτόκολλο Reality μέσα στο Xray — ένα ξεχωριστό στοιχείο που δεν μετατρέπουμε σε απόλυτο.

Η σύνδεση του συνεργάτη γίνεται με έναν 6ψήφιο κωδικό μίας χρήσης που αποστέλλεται στο email. Δεν υπάρχει κωδικός πρόσβασης λογαριασμού. Αυτό δεν ισχύει για τα εσωτερικά διαπιστευτήρια των διαχειριζόμενων στοιχείων, όπως ο παραγόμενος κωδικός πρόσβασης διαχειριστή του διακομιστή. Οι κωδικοί παράγονται από μια κρυπτογραφική γεννήτρια· αποθηκεύεται μόνο το HMAC hash τους, και η σύγκριση εκτελείται σε σταθερό χρόνο. Σε περίπτωση επιτυχίας ο κωδικός διαγράφεται αμέσως, ενώ μετά από 5 λανθασμένες προσπάθειες ακυρώνεται νωρίς. Το όριο ρυθμού έκδοσης μετράται τόσο ανά πλήρη διεύθυνση όσο και ανά πραγματικό γραμματοκιβώτιο: η αλλαγή IP, οι τελείες σε διευθύνσεις Gmail και οι ετικέτες plus δεν δίνουν ξεχωριστό όριο.

Το token συνεδρίας βρίσκεται σε ένα cookie HttpOnly και Secure (η JS δεν μπορεί να το διαβάσει), επαληθευμένο στο backend (όχι μόνο στο edge). Το idle timeout και η αυτόματη αποσύνδεση σε περίπτωση αδράνειας υλοποιούνται στον client, όχι στον διακομιστή. Το token υπογράφεται με HS256· κατά την επαλήθευση απορρίπτουμε αυστηρά οποιονδήποτε άλλον αλγόριθμο (συμπεριλαμβανομένου του «none») — η κλασική επίθεση αλλαγής αλγορίθμου (algorithm-swap) δεν περνά. Το token της βιτρίνας και το token του πάνελ συνεργατών διαχωρίζονται βάσει audience: ένα token τελικού χρήστη τεχνικά δεν μπορεί να φτάσει στο API συνεργατών (και αντίστροφα). Ένας διαγραμμένος συνεργάτης απορρίπτεται ακόμη και με ένα ζωντανό token.

Κάθε συνεδρία συνεργάτη έχει ένα σταθερό αναγνωριστικό στον διακομιστή, το οποίο διατηρείται κατά την ανανέωση του token. Η κανονική αποσύνδεση ανακαλεί ολόκληρη την τρέχουσα συνεδρία και όχι μόνο μία έκδοση του token. Στην ενότητα «Συνεδρίες λογαριασμού» εμφανίζονται η συσκευή, η διεύθυνση IP, ο χρόνος σύνδεσης και η τελευταία δραστηριότητα· οποιαδήποτε συνεδρία μπορεί να τερματιστεί μεμονωμένα. Η ενέργεια «Αποσύνδεση παντού» τερματίζει όλες τις συνεδρίες και αποσυνδέει τις συνδεδεμένες εφαρμογές AI.

Το ιστορικό συνδέσεων διατηρείται για 90 ημέρες και δείχνει τις επιτυχείς συνδέσεις, τους λανθασμένους και ληγμένους κωδικούς, καθώς και την υπέρβαση του αριθμού προσπαθειών. Όταν υπάρχουν ενδείξεις επαναχρησιμοποίησης μιας έκδοσης token που έχει ήδη ανταλλαχθεί, το σύστημα θεωρεί ότι η συνεδρία έχει αντιγραφεί, τερματίζει όλες τις συνεδρίες και τις συνδέσεις AI και στέλνει ειδοποίηση στον κάτοχο.

Στο local storage του browser δεν υπάρχουν tokens συνεδρίας, μόνο ρυθμίσεις διεπαφής. Το token στο cookie HttpOnly το τοποθετεί το server-side επίπεδο του Next.js· ο browser δεν λαμβάνει την εσωτερική διεύθυνση του backend και επικοινωνεί μαζί του μέσω Server Actions. Το CORS δεν επιτρέπει σε άλλα origins να διαβάζουν αποκρίσεις του API με εξουσιοδοτημένα δεδομένα.

Υπάρχουν σκόπιμες εξαιρέσεις, τις οποίες ελέγχει ο ίδιος ο κάτοχος: η εξαγωγή του ιδιωτικού κλειδιού SSH μετά από κωδικό από email (SR-4) και ένα νέο κλειδί Partner API, του οποίου το πλήρες μυστικό εμφανίζεται στον browser μία φορά κατά τη δημιουργία. Μετά από αυτό δεν μπορεί να ανακτηθεί από τη βάση δεδομένων — εκεί παραμένει μόνο το hash. Το δημόσιο domain του API είναι εκ σχεδιασμού προσβάσιμο από το διαδίκτυο, αλλά χωρίς ενεργή συνεδρία, κλειδί API ή token OAuth δεν επιστρέφει προστατευμένα δεδομένα.

Οι δημόσιοι κόμβοι του CreateYourVPN εξυπηρετούνται μέσω HTTPS με HSTS (max-age δύο έτη, includeSubDomains). Κάθε web frontend που φιλοξενούμε — ο ιστότοπος της πλατφόρμας, ο πίνακας συνεργατών και τα καταστήματα των συνεργατών, είτε σε υποτομείς μας είτε στον δικό του τομέα του συνεργάτη — καθώς και ο τομέας του API στέλνουν το ίδιο σύνολο κεφαλίδων ασφαλείας: Content-Security-Policy (default-src 'none' στο API· στα frontend απαγορεύει την ενσωμάτωση σε iframe και κλειδώνει τα base-uri και form-action), X-Content-Type-Options: nosniff, X-Frame-Options και αυστηρή Referrer-Policy (no-referrer στο API· strict-origin-when-cross-origin στα frontend, τα οποία στέλνουν επίσης περιοριστική Permissions-Policy).

Αυτό λειτουργεί στην παραγωγή σε όλους αυτούς τους κόμβους και μπορεί να επαληθευτεί ανεξάρτητα — με οποιονδήποτε επιθεωρητή κεφαλίδων HTTP ή με υπηρεσία όπως το SSL Labs.

Η εφαρμογή AI συνδέεται μέσω OAuth και δεν λαμβάνει το cookie του πάνελ σας. Στη σελίδα συναίνεσης επιλέγετε ένα από τρία επίπεδα: μόνο προβολή· προβολή και διαμόρφωση· διαγραφή και εκχώρηση πρόσβασης. Τα δικαιώματα ελέγχονται από τον διακομιστή σε κάθε κλήση. Οι κρίσιμες διαγραφές απαιτούν επιπλέον κωδικό μίας χρήσης από email, και ολόκληρη η σύνδεση μπορεί να ανακληθεί στην ενότητα «Συνδεδεμένες εφαρμογές AI».

Κάθε κλήση εργαλείου καταγράφεται σε αρχείο ορατό στον κάτοχο, μαζί με το αποτέλεσμα και ένα ασφαλές αντίγραφο των ορισμάτων. Κωδικοί πρόσβασης, tokens, κλειδιά API, ιδιωτικά κλειδιά και σύνδεσμοι συνδρομής αφαιρούνται πριν από την καταγραφή· τα email των χρηστών αποκρύπτονται μερικώς. Ωστόσο, η επιλεγμένη εφαρμογή AI παραμένει υπηρεσία τρίτου: τα δεδομένα που της αναθέσατε συνειδητά να διαβάσει ή να αλλάξει υφίστανται επεξεργασία και σύμφωνα με τους κανόνες του παρόχου της.