Todennettavia väitteitä.

Salasanaa tarvitaan vain ensimmäisen SSH-yhteyden avaamiseen ja palvelukäyttäjän asentamiseen. Se välitetään SSH-todennuksena yhteyttämme varten — ei komentosarjan argumenttina eikä ympäristömuuttujana. Tietokannassamme ei ole sille kenttää; se ei päädy komentosarjojen suoritusympäristöihin eikä sitä kirjoiteta lokeihin (yhteysvirheet sisältävät vain osoitteen ja portin, eivät koskaan salasanaa). Muistista se pyyhitään (parhaan kyvyn mukaan) käytön jälkeen — se on syvyyssuuntaista puolustusta, ei takuu: Go voi säilyttää arvon kopioita keossa roskienkeruuseen asti.

Rehellinen varaus: tämä pysyy palvelimesi root-salasanana. Asennuksen jälkeen poistamme käytöstä salasana- ja root-kirjautumisen SSH:n kautta, mutta emme muuta itse salasanaa — vaihda se itse, jos haluat. 'Emme tallenna sitä' pitää paikkansa; 'se lakkasi olemasta salaisuus' ei.

PasswordAuthentication no, PermitRootLogin no, SSH siirretty epästandardiin porttiin (oletuksena 12011), fail2ban käytössä (tunnin esto 5 epäonnistumisen jälkeen), kirjautuminen vain avaimella. Julkinen avain validoidaan tiukasti ennen käyttöä: rivinvaihdot (suoja ylimääräisten avainten livauttamiselta authorized_keys-tiedostoon) ja syntaktisesti virheelliset avaimet hylätään.

Lukituksenesto: porttia 22 ei suljeta ennen kuin ydin vahvistaa (ss-komennolla), että uusi SSH-portti todella kuuntelee; kokoonpano tarkistetaan komennolla sshd -t ja sudo-sääntö komennolla visudo -cf, molemmat perutaan virhetilanteessa.

Paneeli ei toimi salasanallasi vaan erillisellä avaimella (ed25519), jonka se generoi itse. Yksityinen osa sijaitsee tietokannassa salattuna AES-256-GCM:llä. Salausavain (KEK) säilytetään erillään tietokannasta — palvelimen ympäristömuuttujassa — ja tuotannossa se on pakollinen (turvatonta oletusarvoa ei ole: ilman KEK:iä salausalijärjestelmä ei yksinkertaisesti käynnisty). Sama salaus suojaa tietokannan raskaat salaisuudet — Marzbanin ylläpitäjän salasanan/tokenin/JWT:n, Reality-avaimet, maksupalveluntarjoajien avaimet, välityspalvelun tunnusten välimuistin, varmuuskopiokokoonpanon.

Salaus ei vain piilota vaan myös todentaa tiedot (GCM auth tag): salatun kentän peukalointi havaitaan salauksen purussa ja hylätään. Jokainen kenttä salataan uudella satunnaisella noncella; KEK:n arvo ei koskaan päädy lokeihin — vain sen lyhyt id.

Kyvykkyystokeneista: /sub-tilaustoken on bearer-salaisuus. Hakua varten säilytämme vain sen SHA-256:n, kun taas jo myönnetyn linkin uudelleen näyttämiseen tarvittava kopio säilytetään AES-GCM-salakielenä. Vanhemmat selkokieliset tietueet migratoidaan uuteen muotoon, fail-closed-periaatteella, ennen HTTP-palvelimen käynnistymistä. Maksun webhookin URL-tunniste säilytetään selkokielisenä, mutta se ei yksin todenna tapahtumaa: aitous varmennetaan erikseen HMAC-allekirjoituksella.

Avain puretaan vain palvelimella, muistissa; tavalliset rajapinnat eivät koskaan palauta sitä. Ainoa tapa saada se on tarkoituksellinen vientitoiminto ('ota avaimesi'), joka on suojattu kirjautumisella sekä kertakäyttöisellä sähköpostikoodilla (koodi säilytetään vain HMAC-tiivisteenä, verrataan vakioaikaisesti, TTL 10 minuuttia, 5 yritystä). Avain voidaan siis noutaa tarkoituksella, mutta se ei voi 'vuotaa' tavallisen pyynnön kautta.

Ennen kuin palvelimen tila muuttuu ja ennen mitään taustan verkkotoimintoja hallinta-avaimen sisältävät kentät nollataan synkronisesti. Jos tietokanta ei vahvista tyhjennystä, toiminto palauttaa virheen ja se voidaan yrittää uudelleen. Poisto pysyy 'pehmeänä': rivi ja ei-salaiset palvelutiedot säilytetään. Tämä ei tarkoita jo luotujen varmuuskopioiden fyysistä poistoa — niiden elinkaarta ohjaa varmuuskopioiden säilytyskäytäntö.

Auditoidut kumppanireitit valtuuttavat partner_id:n perusteella, jonka palvelin johtaa allekirjoitetusta kirjautumistokenista — ei siitä, mitä asiakas lähetti polussa tai rungossa. Ennen kuin mitään palautetaan tai muutetaan, järjestelmä tarkistaa uudelleen, että pyydetty palvelin, klusteri, inbound, reitti, VPN-käyttäjä tai maksu kuuluu tiliisi; vastaavat tietokantakyselyt on rajattu partner_id:lläsi, ja skeema (yhdistelmäuniikkiavaimet sekä yhdistelmäviiteavaimet) hylkää virheelliset kumppanien väliset linkitykset. Eristys on kerroksittaista: sovellus, usecase-uudelleentarkistus, partner_id-suodatin ja skeema.

Rehellinen varaus: tämä on todennettu koodiauditoinnilla koko pyyntöpolun matkalta, ei julkisella tunkeutumistestillä — joten SR-16 on, kuten muutkin, avoin kumottavaksi bug bountyssa.

Jotta kaikki voidaan määrittää automaattisesti (asentaa Xray+Reality, ottaa käyttöön kokoonpano, lukea mittareita), paneelilla on täydet ylläpito-oikeudet palvelimella (root-vastaava, salasanattoman sudon omaavan palvelukäyttäjän kautta). Tämä on hallinnan kannalta välttämätöntä, emmekä kutsu sitä 'rajoitetuksi'.

Mikä pienentää riskiä: salaisuudet välitetään palvelimelle vain prosessin stdin:n kautta (ei komentoargumentteina — ne eivät näy prosessiluettelossa); ensimmäisen asennuksen jälkeen jokainen hallintayhteys varmentaa palvelimen kiinnitetyn isäntäavaimen — palvelimen vaihto 'välissä' hylätään. Mitä sinä hallitset: pääsy perustuu avaimeen, jonka voit peruuttaa milloin tahansa — poistamalla palvelimen (avain nollataan) tai yksinkertaisesti poistamalla VPS:n palveluntarjoajaltasi (silloin kaikki katoaa).

Itse VPN-tilit (VLESS/Reality) luodaan ja ne asuvat Marzbanissa master-palvelimellasi. Keskitetysti säilytämme vain sen, mitä tilauslinkin myöntämiseen tarvitaan: satunnaisen tilaustokenin ja salatun tilannekuvan välityspalvelun tunnuksista (välimuisti; totuuden lähde on sinun Marzbanisi). Meillä ei ole liikenne-, IP- tai käyttäjän vierailuhistoriaa.

Tässä on rehellinen luettelo siitä, missä loppukäyttäjän sähköposti todella kulkee keskitietokantamme kautta: kirjautumiskoodin sisältävän viestin lähetämme me, joten osoite kulkee lähetysjonomme läpi (mihin tahansa myymälään kirjautumiseen, myös ilmaiseen); maksun yhteydessä ostajan sähköposti saapuu maksun webhookiin ja päätyy maksulokiin; Telegramia yhdistettäessä sähköposti tallennetaan profiiliin. Nämä ovat ainoat kosketuspisteet — toiminnallisia ja välttämättömyydestä; mikään niistä ei liity liikenteeseen tai käyttäjien toimintaan.

Näitä palvelutietoja säilytämme vain tarvittavan ajan ja tyhjennämme ne automaattisesti: sähköposti poistetaan lähetysjonosta heti lähetyksen jälkeen, maksutapahtuman sisältö käsittelyn jälkeen, ja uudelleenyritystä odottavat tapahtumat 90 päivän ikkunan sisällä. Voit poistaa tilisi ja siihen liittyvät tiedot ottamalla yhteyttä tukeen (katso lisätiedot riskistä 7). Kerromme tämän avoimesti sen sijaan, että piilottaisimme sen epämääräisten sanamuotojen taakse.

CreateYourVPN-alusta ei vastaanota eikä tallenna tietoa siitä, millä sivustoilla sinä tai käyttäjäsi vierailette. Mittareiden vastaanottoskeema on suljettu: siinä ei fyysisesti ole kenttiä IP-osoitteille, verkkotunnuksille tai vierailuille — vain koosteita (uniikkien verkossa olevien määrä, tavut yhteensä, CPU/RAM/kuormitus). Jokainen node todentautuu HMAC-tokenilla, joka on sidottu sen omaan id:hen, ja voi kirjoittaa mittareita vain itselleen. Noden kuormantasaaja (HAProxy) toimii TCP-reitittimenä SNI:n perusteella eikä pura liikennettä. Itse palvelimella järjestelmälokeja säilytetään enintään noin tunti eikä niitä välitetä syslogiin.

Alustatason lisäksi palvelimet eivät myöskään pidä vierailupäiväkirjaa: Xrayn käyttölokitus pakotetaan pois päältä jokaisella kokoonpanon päivityksellä (alusta asettaa log.access-arvoksi none), joten reunaproxy ei tallenna, mihin osoitteisiin käyttäjät ottavat yhteyden. Tämä on pakotettu koodissa ja otettu käyttöön koko palvelinjoukossa.

Ymmärtääksemme, miten sivustoa ja paneelia käytetään, hyödynnämme Google Analyticsia (evästebanneri varoittaa evästeiden ja tilastojen keräämisestä; yksityiskohdat ovat tietosuojakäytännössä). Muita kolmannen osapuolen seuraimia ei ole: ei Sentryä, PostHogia, Mixpanelia eikä mainospikseleitä (varmennettu etsimällä molemmista frontendeistä). Backendissä ei ole lainkaan kolmannen osapuolen telemetriaa. Loppukäyttäjän storefront ei kuulu analytiikan piiriin lainkaan — ei GA:ta, ei seuraimia (todennettavissa sen lähdekoodista).

Varaus: GA vastaanottaa IP-osoitteesi (Googlen puolella) ja katsottujen paneelisivujen osoitteet; paneelin URL-osoitteet sisältävät vain klusteritunnisteen, eivät sähköpostiosoitetta.

Maksu ja kaikki korttitiedot käsitellään palveluntarjoajan puolella (Tribute / Lemon Squeezy). Vastaanotamme vain allekirjoitetun webhookin (HMAC-SHA256, vakioaikainen vertailu, todennettu ennen rungon jäsentämistä ja ennen mitään tietokantakirjoitusta: ilman salaisuuden tuntemista tapahtuma ei läpäise todennusta). Emme vastaanota täyttä korttinumeroa (PAN) emmekä CVV:tä. Saman webhookin uudelleentoimitus (palveluntarjoajan uudelleenyritykset) ei aiheuta kaksinkertaista myöntämistä — tapahtumat deduplikoidaan.

Varaus: palveluntarjoaja voi sisällyttää webhookin runkoon korttien metatietoja (kortin tyyppi ja 4 viimeistä numeroa) sekä maksajan nimen ja sähköpostin. Työprosessi tarvitsee alkuperäistä runkoa, kunnes käsittely on valmis; onnistuneen käsittelyn jälkeen se poistetaan yhdessä sähköpostivihjeen kanssa. Uudelleenyritystä tai manuaalista tarkistusta odottavat tapahtumat säilyttävät alkuperäisen rungon vain säilytysikkunan loppuun asti (90 päivää ilman toimintaa), minkä jälkeen kortin metatiedot ja maksajan sähköposti poistetaan automaattisesti. 'Täyttä korttinumeroa ei ole' pitää paikkansa, mutta se on palveluntarjoajien ominaisuus (emme suodata runkoa itse); 'emme näe kortista mitään lainkaan' ei.

Sähköposti (tarvitaan kirjautumiseen), viimeisin kirjautumisaika, käyttöliittymätila; laskutusta varten — saldo ja Telegram (lataamista varten). Kumppanin IP-osoitetta ei tallenneta tietokantaan, emmekä säilytä paneelissa klikkaus- tai toimintahistoriaa (lukuun ottamatta lyhyttä käyttölokia virhetilanteissa).

Palomuuri estää saapuvan liikenteen oletuksena. Ulospäin auki: 443 (VPN, Xray+Reality), SSH epästandardissa portissa (oletuksena 12011) ja — master-palvelimella — Marzbanin ylläpitopaneelin portti, vain control-plane-IP-osoitteille. Portti 80 avataan erikseen vain Let's Encrypt -tilassa HTTP-01:tä varten. Portti 22 suljetaan, kun SSH on siirretty.

Noden hallintaportit ovat auki vain master-palvelimen IP-osoitteelle, eivät ulospäin (tämän sidonnan epäonnistuminen keskeyttää asennuksen). Jos palomuuri ei aktivoidu, asennus epäonnistuu. ICMP echo on rajoitettu vain IPv4:lle; emme lupaa, että palvelin on 'näkymätön', ja IPv6:n ICMP säilytetään, jotta IPv6 toimii oikein.

Unattended upgrades asentaa tietoturvapakettien päivitykset automaattisesti. Varaus: automaattinen uudelleenkäynnistys on tarkoituksella poistettu käytöstä (jottei todentamaton ydin käynnisty itsestään uudelleen) — mikä tarkoittaa, että uudelleenkäynnistystä vaativat korjaukset (ydin, joskus OpenSSH) tulevat voimaan vasta manuaalisen tai ajastetun uudelleenkäynnistyksen jälkeen. 'Automaattinen paikkaus' pitää paikkansa userlandissa, ei siinä, mikä vaatii uudelleenkäynnistyksen.

Emme väitä, että palvelin on 'näkymätön' tai 'ei skannattavissa'. Portti 443 on auki ja vastaa TCP-yhteyteen kuten mikä tahansa verkkopalvelin. Ominaisuuden 'virheellisessä yhteydessä se näyttää tavalliselta, asiaankuulumattomalta verkkosivustolta' tarjoaa Xrayn sisällä oleva Reality-protokolla — erillinen komponentti, jota emme muuta absoluutiksi.

Kumppani kirjautuu kertakäyttöisellä 6-numeroisella koodilla, joka lähetetään sähköpostiin. Tilin salasanaa ei ole. Tämä ei koske hallinnoitujen komponenttien sisäisiä tunnuksia, kuten generoitua Marzbanin ylläpitäjän salasanaa. Koodit generoi kryptografinen generaattori; vain niiden HMAC-tiiviste säilytetään, ja vertailu on vakioaikaista. Koodi on kertakäyttöinen: onnistuessa se poistetaan välittömästi (ei toistoa); 5 väärän yrityksen jälkeen se sammutetaan ennenaikaisesti. Myöntämisen nopeusraja lasketaan sähköpostiosoitetta kohti, ei IP:tä kohti — sitä ei voi kiertää vaihtamalla osoitteita.

Istuntotoken sijaitsee HttpOnly- ja Secure-evästeessä (JS ei voi lukea sitä), ja se todennetaan backendissä (ei vain reunalla). Käyttämättömyyden aikakatkaisu ja automaattinen uloskirjautuminen toimettomuuden vuoksi on toteutettu asiakaspäässä, ei palvelimella. Token on allekirjoitettu HS256:lla; todennuksessa hylkäämme tiukasti minkä tahansa muun algoritmin (mukaan lukien 'none') — klassinen algoritminvaihtohyökkäys ei mene läpi. Storefront-token ja kumppanipaneelin token on erotettu audiencen perusteella: loppukäyttäjän token ei teknisesti voi päästä kumppanirajapintaan (eikä päinvastoin). Poistettu kumppani hylätään, vaikka token olisikin voimassa.

Varaus: peruutus on toteutettu tarkistamalla jokaisella pyynnöllä, että kumppani on olemassa, ei mitätöimällä itse tokenia; uloskirjautuminen poistaa evästeen, mutta myönnetty token pysyy kryptografisesti voimassa vanhenemiseen asti (enintään tunnin). Keskitettyä peruutuslistaa ei vielä ole (tietoinen MVP-yksinkertaistus).

Selaimen local storagessa ei ole tokeneita (vain käyttöliittymäasetukset); yhtään salaisuutta tai API-osoitetta ei päädy asiakasnippuun. Vain palvelin (Next.js) sijoittaa tokenin HttpOnly-evästeeseen. Selain keskustelee ytimen kanssa vain palvelimen kautta (Server Actions): frontend ei kutsu rajapintaa suoraan selaimesta, eikä CORS salli selaimen lukevan rajapinnan vastauksia muista alkuperistä.

Selvennys aiemman absoluutin sijaan: itse API-verkkotunnus on julkinen isäntä — teknisesti voit avata sen selaimesta, mutta ilman istuntoa se ei palauta valtuutettuja tietoja.

CreateYourVPN:n julkiset verkkotunnukset tarjoillaan HTTPS:n kautta HSTS:llä (max-age kaksi vuotta, includeSubDomains). Sekä web-frontend että API-verkkotunnus lähettävät tiukan joukon tietoturvaotsakkeita: rajoittavan Content-Security-Policyn, X-Content-Type-Options: nosniff, X-Frame-Options ja lukitun Referrer-Policyn (no-referrer API:ssa; strict-origin-when-cross-origin frontendissa, joka lähettää myös rajoittavan Permissions-Policyn).

Tämä on tuotannossa molemmissa verkkotunnuksissa ja tarkistettavissa riippumattomasti — millä tahansa HTTP-otsakkeiden tarkastimella tai palvelulla kuten SSL Labs.