Provjerljive tvrdnje.

Lozinka je potrebna samo za otvaranje prve SSH veze i instalaciju servisnog korisnika. Prosljeđuje se kao SSH autentifikacija naše veze — ne kao argument skripte ili varijabla okoline. Naša baza podataka za nju nema polje; ne dospijeva u okoline u kojima se izvode skripte i ne zapisuje se u zapisnike (pogreške povezivanja sadrže samo adresu i port, nikada lozinku). U memoriji se nakon uporabe briše (best-effort) — to je obrana u dubinu, ne jamstvo: Go može zadržati kopije vrijednosti na hrpi sve do sakupljanja smeća (garbage collection).

Iskrena ograda: to ostaje root lozinka na vašem serveru. Nakon instalacije onemogućujemo prijavu lozinkom i prijavu kao root preko SSH-a, ali samu lozinku ne mijenjamo — promijenite je sami ako želite. „Ne pohranjujemo je“ je istina; „prestala je biti tajna“ nije.

PasswordAuthentication no, PermitRootLogin no, SSH premješten na nestandardni port (zadano 12011), uključen fail2ban (jednosatna zabrana nakon 5 neuspjeha), prijava samo ključem. Javni ključ se prije uporabe strogo provjerava: znakovi novog retka (zaštita od podmetanja dodatnih ključeva u authorized_keys) i sintaktički nevažeći ključevi se odbijaju.

Zaštita od zaključavanja: port 22 se ne zatvara dok jezgra (putem ss) ne potvrdi da novi SSH port zaista sluša; konfiguracija se provjerava naredbom sshd -t, a sudo pravilo naredbom visudo -cf, oboje se pri pogrešci vraća natrag.

Ploča ne radi s vašom lozinkom, nego s zasebnim ključem (ed25519) koji sama generira. Privatni dio leži u bazi podataka šifriran pomoću AES-256-GCM. Ključ za šifriranje (KEK) pohranjen je odvojeno od baze podataka — u varijabli okoline servera — i u produkciji je obavezan (ne postoji nesigurna zadana vrijednost: bez KEK-a kriptografski podsustav jednostavno se neće pokrenuti). Isto šifriranje štiti teške tajne u bazi podataka — Marzban administratorsku lozinku/token/JWT, Reality ključeve, ključeve pružatelja plaćanja, predmemoriju proxy vjerodajnica, konfiguraciju sigurnosnih kopija.

Šifriranje podatke ne samo skriva, nego ih i autentificira (GCM oznaka autentičnosti): manipulacija šifriranim poljem otkriva se pri dešifriranju i odbija. Svako polje se šifrira novom nasumičnom vrijednošću nonce; vrijednost KEK-a nikada ne dospijeva u zapisnike — samo njegov kratki id.

O tokenima ovlasti: pretplatnički token /sub je bearer tajna. Za pretragu pohranjujemo samo njegov SHA-256, dok se kopija potrebna za ponovni prikaz već izdane poveznice čuva kao AES-GCM šifrat. Stariji zapisi u čitljivom obliku migriraju se u novi format, fail-closed, prije pokretanja HTTP servera. Identifikator URL-a platnog webhooka pohranjen je u čitljivom obliku, ali sam po sebi ne autentificira događaj: autentičnost se provjerava zasebno HMAC potpisom.

Tajne ključeva Partner API-ja pohranjuju se u nepovratnom obliku: puni ključ prikazuje se samo jednom, pri izdavanju, a u bazi podataka ostaje SHA-256 njegova tajnog dijela. Access i refresh tokeni povezanih AI aplikacija također se ne pohranjuju u čitljivom obliku; veza je ograničena odabranom razinom pristupa, a vlasnik računa može je opozvati.

Ključ se dešifrira samo na serveru, u memoriji; obični API-ji ga nikada ne vraćaju. Jedini način da ga se dobije jest namjerna funkcija izvoza („uzmite svoj ključ“), zaštićena prijavom uz jednokratni e-mail kôd (kôd se pohranjuje samo kao HMAC hash, uspoređuje se u konstantnom vremenu, TTL 10 minuta, 5 pokušaja). Ključ se tako može namjerno dohvatiti, ali ne i „procuriti“ kroz uobičajeni zahtjev.

Prije promjene stanja servera i prije bilo kakvih pozadinskih mrežnih operacija, polja koja sadrže upravljački ključ sinkrono se nuliraju. Ako baza podataka ne potvrdi brisanje, operacija vraća pogrešku i može se ponoviti. Brisanje ostaje „meko“: redak i netajni servisni podaci se čuvaju. To ne znači fizičko brisanje već stvorenih sigurnosnih kopija — njihov životni ciklus uređuje pravilo zadržavanja sigurnosnih kopija.

U rutama ploče partner_id izvodi se iz potpisane sesije, a u Partner API-ju iz provjerenog API ključa ili OAuth veze AI aplikacije. Identifikator vlasnika ne uzima se iz putanje, query parametara ni tijela zahtjeva. API ključevi dodatno su ograničeni opsegom prava (scope), rokom valjanosti i planom; za povezanu AI aplikaciju skup prava izračunava se pri svakom zahtjevu iz razine koju je odabrao vlasnik.

Prije vraćanja ili promjene bilo čega, sustav ponovno provjerava da server, klaster, inbound, ruta, VPN korisnik ili plaćanje pripadaju tom računu. Upiti baze podataka ograničeni su na partner_id, a složeni jedinstveni i strani ključevi odbijaju nevažeće veze među partnerima. Autorizacijska matrica u testovima zahtijeva izričit IDOR scenarij za svaki endpoint s identifikatorom resursa.

Iskrena ograda: ovo je potvrđeno revizijom koda kroz putanju zahtjeva, a ne javnim penetracijskim testom — pa je SR-16, kao i ostalo, otvoren za pobijanje u bug bountyju.

Kako bi sve postavila automatski (instalirala Xray+Reality, primijenila konfiguraciju, čitala metrike), ploča na serveru ima puni administratorski pristup (ekvivalent roota, preko servisnog korisnika s bezlozinkovim sudo). To je nužno za upravljanje i NE nazivamo to „ograničenim“.

Što smanjuje rizik: tajne se serveru prosljeđuju samo putem stdina procesa (ne kao argumenti naredbe — nisu vidljive u popisu procesa); nakon prve instalacije svaka upravljačka veza provjerava prikvačeni ključ domaćina servera — zamjena servera „u sredini“ se odbija. Što vi kontrolirate: pristup počiva na ključu koji možete opozvati u bilo kojem trenutku — brisanjem servera (ključ se nulira) ili jednostavno brisanjem VPS-a kod vašeg pružatelja (tada sve nestaje).

Sami VPN računi (VLESS/Reality) stvaraju se i žive u Marzbanu na vašem master serveru. Centralno pohranjujemo samo ono što je potrebno za izdavanje pretplatničke poveznice: nasumični pretplatnički token i šifrirani snimak proxy vjerodajnica (predmemorija; izvor istine je vaš Marzban). Nemamo nikakvu povijest prometa, IP adresa ni posjeta korisnika.

Adresu e-pošte krajnjeg korisnika kod nas ne pohranjujemo: naziv njegova računa izveden je nepovratno i ne sadrži adresu. E-poruku s kodom za prijavu šaljemo mi, pa adresa prolazi kroz naš red slanja i briše se iz njega odmah nakon slanja — za prepoznavanje korisnika koji se vraća ostaje samo nepovratan otisak, iz kojeg se adresa ne može rekonstruirati. Jedini slučaj u kojem adresa ipak ostane imenujemo izravno: pri plaćanju stiže u webhooku plaćanja i ulazi u zapisnik plaćanja s ograničenim rokom čuvanja.

Te servisne podatke čuvamo samo onoliko koliko je potrebno i brišemo ih automatski: e-pošta se uklanja iz reda za slanje odmah nakon slanja, sadržaj platnog događaja nakon obrade, a događaji koji čekaju ponovni pokušaj unutar razdoblja od 90 dana. Svoj račun zajedno sa svim njegovim podacima možete sami izbrisati u odjeljku „Napredne postavke”, uz potvrdu kodom iz e-pošte (za pojedinosti pogledajte rizik 7). To otkrivamo otvoreno, umjesto da skrivamo iza nejasnih formulacija.

Platforma CreateYourVPN ne prima i ne pohranjuje informacije o tome koje stranice posjećujete vi ili vaši korisnici. Shema unosa metrika je zatvorena: fizički nema polja za IP adrese, domene ili posjete — samo agregate (broj jedinstvenih na mreži, ukupni bajtovi, CPU/RAM/opterećenje). Svaki čvor autentificira se HMAC tokenom vezanim uz vlastiti id i može zapisivati metrike samo za sebe. Balanser na čvoru (HAProxy) radi kao TCP usmjerivač prema SNI i ne dešifrira promet. Na samom serveru sistemski dnevnici čuvaju se najviše otprilike sat vremena i ne prosljeđuju se u syslog.

Osim na razini platforme, ni serveri ne vode dnevnik posjeta: Xray zapisivanje pristupa prisilno se onemogućuje pri svakom slanju konfiguracije (platforma postavlja log.access na none), pa rubni proxy ne bilježi na koje se adrese korisnici spajaju. To je nametnuto u kodu i uvedeno na cijeloj floti.

Kako bismo razumjeli kako se web i ploča koriste, primjenjujemo Google Analytics (banner za kolačiće upozorava na prikupljanje kolačića i statistike; pojedinosti su u Politici privatnosti). Na stranicama OAuth privole analitika je prisilno isključena: URL sadrži kratkotrajni identifikator zahtjeva za povezivanje AI aplikacije, koji se ne smije prosljeđivati trećoj strani. Nema drugih pratitelja trećih strana: nema Sentryja, PostHoga, Mixpanela ni oglasnih piksela. Backend nema telemetriju trećih strana, a izlozi krajnjih korisnika nisu pokriveni analitikom.

Ograda: GA prima vašu IP adresu (na Googleovoj strani) i adrese pregledanih stranica ploče; URL-ovi ploče sadrže samo identifikator klastera, a ne e-mail.

Plaćanje i svi podaci o kartici obrađuju se na strani povezanog pružatelja (lava.top). Do nas stiže samo provjereni webhook događaj: njegova se autentičnost utvrđuje načinom koji podržava dotični pružatelj, prije nego što se promijeni stanje računa ili pristup. Ne primamo puni broj kartice (PAN) ni CVV. Ponovna dostava istog događaja ne uzrokuje dvostruko odobrenje: događaji se dedupliciraju.

Ograda: pružatelj u tijelo webhooka može uključiti metapodatke kartice (marku i posljednje 4 znamenke) te ime i e-mail platitelja. Izvorno tijelo potrebno je workeru dok se obrada ne dovrši; nakon uspješne obrade briše se zajedno s naznakom e-maila. Događaji koji čekaju ponavljanje ili ručnu provjeru zadržavaju izvorno tijelo samo do kraja razdoblja zadržavanja (90 dana bez aktivnosti), nakon čega se metapodaci kartice i e-mail platitelja automatski brišu. „Nema punog broja kartice” je istina, ali to je svojstvo pružatelja (tijelo sami ne filtriramo); „o kartici ne vidimo baš ništa” nije.

Za račun se pohranjuju e-mail, vrijeme posljednje prijave, način sučelja i postavke; za naplatu — stanje i Telegram, ako je naveden za nadoplate. Radi zaštite računa aktivna sesija sadrži vrijeme stvaranja i posljednje aktivnosti, IP adresu i user-agent. Povijest uspješnih i neuspjelih pokušaja prijave s istim tehničkim obilježjima čuva se 90 dana.

Opće povijesti klikova u ploči nema. Zasebno postoje namjenski zapisnici: zahtjevi prema Partner API-ju — najviše 500 posljednjih zapisa i približno 25 sati, događaji infrastrukture i rezultati dijagnostike — najviše 7 dana, radnje povezanih AI aplikacija — zajedno s računom. Prije upisa AI radnji uklanjaju se lozinke, tokeni, ključevi i poveznice pretplate, a e-mail adrese korisnika se maskiraju.

Vatrozid prema zadanim postavkama odbija dolazne veze. Otvoreno prema van: 443 (VPN, Xray+Reality), SSH na nestandardnom portu (zadano 12011) i — na master serveru — port administratorske ploče Marzban, samo za IP adrese upravljačkog sloja. Port 80 otvara se zasebno samo u načinu Let's Encrypt za HTTP-01. Port 22 se zatvara nakon premještanja SSH-a.

Upravljački portovi čvora otvoreni su samo za IP master servera, ne prema van (neuspjeh ovog vezivanja prekida instalaciju). Ako vatrozid ne postane aktivan, instalacija ne uspijeva. ICMP echo ograničen je samo za IPv4; ne obećavamo da je server „nevidljiv“, a IPv6 ICMP je sačuvan kako bi IPv6 ispravno radio.

Nenadzirana nadogradnja automatski instalira ažuriranja sigurnosnih paketa. Ograda: automatsko ponovno pokretanje namjerno je onemogućeno (kako se neprovjerena jezgra ne bi sama ponovno pokrenula) — što znači da se popravci koji zahtijevaju ponovno pokretanje (jezgra, ponekad OpenSSH) primjenjuju tek nakon ručnog ili zakazanog ponovnog pokretanja. „Automatsko krpanje“ vrijedi za userland, ne za ono što zahtijeva ponovno pokretanje.

NE tvrdimo da je server „nevidljiv“ ili „da se ne može skenirati“. Port 443 je otvoren i odgovara na TCP vezu kao svaki web server. Svojstvo „pri neispravnoj vezi izgleda kao obična nepovezana web stranica“ pruža protokol Reality unutar Xraya — zasebna komponenta koju ne pretvaramo u apsolut.

Partner se prijavljuje jednokratnim 6-znamenkastim kodom poslanim na e-mail. Račun nema lozinku. To se ne odnosi na interne vjerodajnice upravljanih komponenti, poput generirane administratorske lozinke servera. Kodove generira kriptografski generator; pohranjuje se samo njihov HMAC hash, a usporedba se izvodi u konstantnom vremenu. Pri uspjehu se kôd odmah briše, a nakon 5 pogrešnih pokušaja rano se gasi. Ograničenje učestalosti izdavanja broji se i po punoj adresi i po stvarnom poštanskom sandučiću: promjena IP-a, točke u Gmail adresi i plus-oznake ne daju zasebno ograničenje.

Token sesije nalazi se u HttpOnly i Secure kolačiću (JS ga ne može čitati), provjerava se na backendu (ne samo na rubu). Istek zbog neaktivnosti i automatska odjava pri neaktivnosti implementirani su na klijentu, ne na serveru. Token je potpisan pomoću HS256; pri provjeri strogo odbijamo bilo koji drugi algoritam (uključujući „none”) — klasični napad zamjenom algoritma ne prolazi. Token izloga i token partnerske ploče odvojeni su prema publici: token krajnjeg korisnika tehnički ne može doći do partnerskog API-ja (i obrnuto). Izbrisani partner se odbija čak i sa živim tokenom.

Svaka partnerska sesija ima stabilan poslužiteljski identifikator koji se zadržava pri produljenju tokena. Obična odjava opoziva cijelu trenutačnu sesiju, a ne samo jedno izdanje tokena. U odjeljku „Sesije računa” vidljivi su uređaj, IP adresa, vrijeme prijave i posljednja aktivnost; svaka se sesija može zasebno zatvoriti. Radnja „Odjavi se svugdje” zatvara sve sesije i odspaja povezane AI aplikacije.

Povijest prijava čuva se 90 dana i prikazuje uspješne prijave, pogrešne i istekle kodove te prekoračenje broja pokušaja. Pri znakovima ponovne upotrebe već razmijenjenog izdanja tokena sustav smatra sesiju kopiranom, zatvara sve sesije i veze s AI aplikacijama te vlasniku šalje obavijest.

U lokalnoj pohrani preglednika nema tokena sesije, samo postavke sučelja. Token u HttpOnly kolačić stavlja poslužiteljski sloj Next.js-a; preglednik ne dobiva internu adresu backenda i do njega dolazi putem Server Actions. CORS drugim izvorima (origin) ne dopušta čitanje odgovora API-ja s autoriziranim podacima.

Postoje namjerne iznimke kojima upravlja sam vlasnik: izvoz privatnog SSH ključa nakon koda iz e-pošte (SR-4) i novi ključ Partner API-ja, čija se puna tajna prikazuje u pregledniku jednom, pri stvaranju. Nakon toga tajna se ne može vratiti iz baze podataka — ondje ostaje samo hash. Javna domena API-ja dostupna je s interneta, kako je i predviđeno, ali bez važeće sesije, API ključa ili OAuth tokena ne vraća zaštićene podatke.

Javni hostovi CreateYourVPN-a poslužuju se preko HTTPS-a uz HSTS (max-age dvije godine, includeSubDomains). Svaki web frontend koji hostamo — stranica platforme, partnerski panel i partnerske trgovine, bilo na našim poddomenama ili na vlastitoj domeni partnera — kao i API domena šalju isti skup sigurnosnih zaglavlja: Content-Security-Policy (default-src 'none' na API-ju; na frontendima zabranjuje ugradnju u iframe i fiksira base-uri i form-action), X-Content-Type-Options: nosniff, X-Frame-Options i strogu Referrer-Policy (no-referrer na API-ju; strict-origin-when-cross-origin na frontendima, koji šalju i restriktivnu Permissions-Policy).

To radi u produkciji na svim tim hostovima i može se neovisno provjeriti — bilo kojim inspektorom HTTP zaglavlja ili servisom poput SSL Labsa.

AI aplikacija povezuje se putem OAuth-a i ne dobiva kolačić vaše ploče. Na stranici privole birate jednu od tri razine: samo pregled; pregled i konfiguracija; brisanje i dodjela pristupa. Prava provjerava poslužitelj pri svakom pozivu. Kritična brisanja zahtijevaju dodatni jednokratni kôd iz e-pošte, a cijelu vezu možete opozvati u odjeljku „Povezane AI aplikacije”.

Svaki poziv alata upisuje se u zapisnik vidljiv vlasniku, s rezultatom i sigurnom kopijom argumenata. Lozinke, tokeni, API ključevi, privatni ključevi i poveznice pretplate uklanjaju se prije upisa; e-mail adrese korisnika se maskiraju. Pritom odabrana AI aplikacija ostaje usluga treće strane: podaci koje ste joj svjesno povjerili na čitanje ili izmjenu obrađuju se i prema pravilima njezina pružatelja.