Klaim yang dapat diverifikasi.

Kata sandi hanya diperlukan untuk membuka koneksi SSH pertama dan memasang pengguna layanan. Kata sandi itu diteruskan sebagai autentikasi SSH untuk koneksi kami — bukan sebagai argumen skrip atau variabel lingkungan. Basis data kami tidak memiliki bidang untuknya; kata sandi itu tidak masuk ke lingkungan eksekusi skrip dan tidak ditulis ke log (galat koneksi hanya berisi alamat dan port, tidak pernah kata sandi). Di memori, kata sandi dihapus (sebisa mungkin) setelah dipakai — itu pertahanan berlapis, bukan jaminan: Go bisa saja menyimpan salinan nilai tersebut di heap sampai pengumpulan sampah (garbage collection).

Catatan jujur: ini tetaplah kata sandi root di server Anda. Setelah pemasangan, kami menonaktifkan login kata sandi dan root melalui SSH, tetapi kami tidak mengubah kata sandinya sendiri — ubahlah sendiri jika Anda mau. 'Kami tidak menyimpannya' itu benar; 'kata sandi itu berhenti menjadi rahasia' tidak.

PasswordAuthentication no, PermitRootLogin no, SSH dipindahkan ke port non-standar (12011 secara bawaan), fail2ban diaktifkan (pemblokiran satu jam setelah 5 kali gagal), login hanya dengan kunci. Kunci publik divalidasi secara ketat sebelum digunakan: baris baru (perlindungan agar tidak ada kunci tambahan diselipkan ke authorized_keys) dan kunci yang tidak valid secara sintaksis ditolak.

Anti-terkunci: port 22 tidak ditutup sampai kernel memastikan (melalui ss) bahwa port SSH baru benar-benar mendengarkan; konfigurasi diperiksa dengan sshd -t dan aturan sudo dengan visudo -cf, keduanya dikembalikan jika terjadi galat.

Panel bekerja bukan dengan kata sandi Anda, melainkan dengan kunci terpisah (ed25519) yang dibuatnya sendiri. Bagian privatnya berada di basis data, terenkripsi dengan AES-256-GCM. Kunci enkripsi (KEK) disimpan terpisah dari basis data — dalam variabel lingkungan server — dan di produksi bersifat wajib (tidak ada bawaan yang tidak aman: tanpa KEK, subsistem kripto tidak akan mulai). Enkripsi yang sama melindungi rahasia-rahasia berat di basis data — kata sandi/token/JWT admin Marzban, kunci Reality, kunci penyedia pembayaran, cache kredensial proxy, konfigurasi backup.

Enkripsi tidak hanya menyembunyikan, tetapi juga mengautentikasi data (tag autentikasi GCM): perusakan pada bidang terenkripsi terdeteksi saat dekripsi dan ditolak. Setiap bidang dienkripsi dengan nonce acak yang baru; nilai KEK tidak pernah sampai ke log — hanya id pendeknya.

Tentang token kapabilitas: token langganan /sub adalah rahasia pemegang (bearer). Untuk pencarian, kami hanya menyimpan SHA-256-nya, sedangkan salinan yang dibutuhkan untuk menampilkan ulang tautan yang sudah diterbitkan disimpan sebagai ciphertext AES-GCM. Catatan teks-biasa yang lebih lama dimigrasikan ke format baru, secara fail-closed, sebelum server HTTP dimulai. Pengidentifikasi URL webhook pembayaran disimpan secara terbuka, tetapi dengan sendirinya tidak mengautentikasi sebuah peristiwa: keasliannya diverifikasi terpisah oleh tanda tangan HMAC.

Rahasia kunci Partner API bersifat tak terbalikkan: kunci lengkap hanya ditampilkan satu kali saat diterbitkan, dan yang tersisa di basis data adalah SHA-256 dari bagian rahasianya. Token akses dan refresh milik AI yang terhubung juga tidak disimpan dalam teks biasa; koneksi dibatasi pada tingkat akses yang dipilih dan dapat dicabut oleh pemilik akun.

Kunci hanya didekripsi di server, dalam memori; API biasa tidak pernah mengembalikannya. Satu-satunya cara memperolehnya adalah fungsi ekspor yang disengaja ('ambil kunci Anda'), yang dilindungi oleh proses masuk plus kode email sekali pakai (kode hanya disimpan sebagai hash HMAC, dibandingkan dalam waktu konstan, TTL 10 menit, 5 percobaan). Jadi kunci dapat diambil dengan sengaja, tetapi tidak 'bocor' melalui permintaan biasa.

Sebelum status server berubah dan sebelum operasi jaringan latar belakang apa pun, bidang-bidang yang menyimpan kunci pengelolaan dinolkan secara sinkron. Jika basis data tidak mengonfirmasi pembersihan itu, operasi mengembalikan galat dan dapat dicoba lagi. Penghapusan tetap 'lunak' (soft): baris dan data layanan yang bukan rahasia dipertahankan. Ini tidak berarti penghapusan fisik atas backup yang sudah dibuat — siklus hidupnya diatur oleh kebijakan retensi backup.

Pada rute panel, partner_id diturunkan dari sesi bertanda tangan; pada Partner API — dari kunci API yang telah diverifikasi atau koneksi OAuth AI. Pengidentifikasi pemilik tidak diambil dari path, parameter query, atau body permintaan. Kunci API juga dibatasi oleh scope, masa berlaku, dan paket; untuk AI yang terhubung, himpunan izin dihitung dari tingkat yang dipilih pemilik pada setiap permintaan.

Sebelum mengembalikan atau mengubah apa pun, sistem memeriksa ulang bahwa server, klaster, inbound, rute, pengguna VPN, atau pembayaran adalah milik akun ini. Kueri basis data dibatasi oleh partner_id, dan kunci unik serta kunci asing komposit menolak tautan lintas-mitra yang tidak valid. Matriks otorisasi dalam pengujian mewajibkan skenario IDOR eksplisit untuk setiap endpoint yang memiliki pengidentifikasi sumber daya.

Catatan jujur: ini diverifikasi oleh audit kode di sepanjang jalur permintaan, bukan oleh uji penetrasi publik — jadi SR-16, seperti yang lainnya, terbuka untuk dibantah dalam bug bounty.

Untuk mengonfigurasi semuanya secara otomatis (memasang Xray+Reality, menerapkan konfigurasi, membaca metrik), panel memegang akses administratif penuh di server (setara root, melalui pengguna layanan dengan sudo tanpa kata sandi). Ini diperlukan untuk pengelolaan, dan kami TIDAK menyebutnya 'terbatas'.

Yang mengurangi risiko: rahasia diteruskan ke server hanya melalui stdin proses (bukan sebagai argumen perintah — tidak terlihat di daftar proses); setelah pemasangan awal, setiap koneksi pengelolaan memverifikasi host key server yang telah dipatok (pinned) — pergantian server 'di tengah' ditolak. Yang Anda kendalikan: akses bertumpu pada kunci yang dapat Anda cabut kapan saja — dengan menghapus server (kunci dinolkan) atau cukup menghapus VPS di penyedia Anda (lalu semuanya lenyap).

Akun VPN itu sendiri (VLESS/Reality) dibuat dan berada di dalam Marzban pada server master Anda. Secara terpusat, kami hanya menyimpan apa yang diperlukan untuk menerbitkan tautan langganan: token langganan acak dan snapshot terenkripsi dari kredensial proxy (sebuah cache; sumber kebenarannya adalah Marzban Anda). Kami tidak memiliki riwayat lalu lintas, IP, atau kunjungan pengguna.

Alamat email pengguna akhir tidak kami simpan: nama akunnya diturunkan secara tak terbalikkan dan tidak memuat alamat. Email berisi kode masuk kami yang mengirim, jadi alamat itu melewati antrean pengiriman kami dan dihapus dari sana tepat setelah terkirim — untuk mengenali pengguna yang kembali hanya tersisa sidik tak terbalikkan, dan alamat tidak dapat dipulihkan darinya. Satu-satunya kasus di mana alamat tetap tersimpan kami sebut terus terang: saat pembayaran, alamat tiba di webhook pembayaran dan masuk ke catatan pembayaran dengan masa simpan terbatas.

Data layanan ini hanya kami simpan selama diperlukan dan kami bersihkan secara otomatis: email dihapus dari antrean pengiriman tepat setelah dikirim, isi peristiwa pembayaran setelah diproses, dan peristiwa yang menunggu percobaan ulang dalam jendela 90 hari. Anda dapat menghapus sendiri akun Anda beserta semua datanya di bagian “Pengaturan lanjutan”, dengan konfirmasi melalui kode dari email Anda (lihat risiko 7 untuk detail). Kami mengungkapkan ini secara terbuka alih-alih menyembunyikannya di balik kata-kata yang samar.

Platform CreateYourVPN tidak menerima atau menyimpan informasi tentang situs mana yang Anda atau pengguna Anda kunjungi. Skema penerimaan metrik bersifat tertutup: secara fisik ia tidak memiliki bidang untuk IP, domain, atau kunjungan — hanya agregat (jumlah unik yang daring, total byte, CPU/RAM/beban). Setiap node mengautentikasi dengan token HMAC yang terikat pada id-nya sendiri dan hanya dapat menulis metrik untuk dirinya sendiri. Penyeimbang di node (HAProxy) bekerja sebagai router TCP berdasarkan SNI dan tidak mendekripsi lalu lintas. Di server itu sendiri, jurnal sistem (journald) disimpan tidak lebih dari sekitar satu jam dan tidak diteruskan ke syslog.

Selain di tingkat platform, server juga tidak menyimpan jurnal kunjungan: pencatatan akses Xray dipaksa nonaktif pada setiap pengiriman konfigurasi (platform menyetel log.access ke none), sehingga proxy tepi tidak merekam alamat mana yang dihubungi pengguna. Ini diberlakukan di kode dan digulirkan ke seluruh armada.

Untuk memahami bagaimana situs dan panel digunakan, kami menerapkan Google Analytics (spanduk cookie memperingatkan tentang pengumpulan cookie dan statistik; detailnya ada di Kebijakan Privasi). Pada halaman persetujuan OAuth, analitik secara paksa tidak dimuat: URL-nya berisi pengidentifikasi berumur pendek untuk permintaan koneksi AI, yang tidak boleh diteruskan ke pihak ketiga. Tidak ada pelacak pihak ketiga lain: tidak ada Sentry, PostHog, Mixpanel, atau piksel iklan. Backend tidak memiliki telemetri pihak ketiga, dan etalase pengguna akhir tidak tercakup oleh analitik.

Catatan: GA menerima IP Anda (di sisi Google) dan alamat halaman panel yang dilihat; URL panel hanya berisi pengidentifikasi klaster, bukan email.

Pembayaran dan seluruh data kartu ditangani di sisi penyedia yang terhubung (lava.top). Kami hanya menerima peristiwa webhook yang telah diverifikasi: keasliannya ditetapkan dengan metode yang didukung oleh penyedia terkait, sebelum saldo atau akses diubah. Kami tidak menerima nomor kartu lengkap (PAN) atau CVV. Pengiriman ulang peristiwa yang sama tidak menyebabkan pemberian ganda: peristiwa didedupikasi.

Catatan: penyedia dapat menyertakan metadata kartu (merek dan 4 digit terakhir) serta nama dan email pembayar di body webhook. Body asli dibutuhkan worker sampai pemrosesan selesai; setelah berhasil diproses, body itu dihapus bersama petunjuk email. Peristiwa yang menunggu percobaan ulang atau tinjauan manual hanya menyimpan body asli sampai akhir jendela retensi (90 hari tanpa aktivitas), setelah itu metadata kartu dan email pembayar dihapus otomatis. 'Tidak ada nomor kartu lengkap' itu benar, tetapi itu adalah properti para penyedia (kami sendiri tidak menyaring body); 'kami tidak melihat apa pun tentang kartu sama sekali' tidak.

Untuk akun, kami menyimpan email, waktu masuk terakhir, mode antarmuka, dan pengaturan; untuk penagihan — saldo dan Telegram, jika dicantumkan untuk isi ulang. Untuk melindungi akun, sesi aktif memuat waktu pembuatan dan aktivitas terakhir, alamat IP, dan user-agent. Riwayat upaya masuk yang berhasil dan gagal, dengan atribut teknis yang sama, disimpan selama 90 hari.

Tidak ada riwayat klik umum di panel. Secara terpisah terdapat log dengan tujuan khusus: permintaan Partner API — maksimal 500 entri terakhir dan sekitar 25 jam; peristiwa infrastruktur dan hasil diagnostik — maksimal 7 hari; tindakan AI yang terhubung — disimpan bersama akun. Sebelum tindakan AI dicatat, kata sandi, token, kunci, dan tautan langganan dihapus, dan email pengguna disamarkan.

Firewall menolak koneksi masuk secara bawaan. Yang terbuka ke luar: 443 (VPN, Xray+Reality), SSH pada port non-standar (12011 secara bawaan), dan — pada server master — port panel admin Marzban, hanya untuk IP control-plane. Port 80 dibuka secara terpisah hanya dalam mode Let's Encrypt untuk HTTP-01. Port 22 ditutup setelah SSH dipindahkan.

Port pengelolaan node hanya terbuka untuk IP server master, bukan ke luar (kegagalan pengikatan ini membatalkan pemasangan). Jika firewall tidak menjadi aktif, pemasangan gagal. ICMP echo dibatasi hanya untuk IPv4; kami tidak menjanjikan server 'tidak terlihat', dan ICMP IPv6 dipertahankan agar IPv6 bekerja dengan benar.

Unattended upgrades memasang pembaruan paket keamanan secara otomatis. Catatan: reboot otomatis sengaja dinonaktifkan (agar kernel yang belum diverifikasi tidak melakukan reboot sendiri) — yang berarti perbaikan yang memerlukan reboot (kernel, terkadang OpenSSH) baru diterapkan setelah reboot manual atau terjadwal. 'Penambalan otomatis' benar untuk userland, bukan untuk yang memerlukan reboot.

Kami TIDAK mengklaim server 'tidak terlihat' atau 'tidak bisa dipindai'. Port 443 terbuka dan menjawab koneksi TCP seperti server web mana pun. Properti 'pada koneksi yang tidak benar ia tampak seperti situs web biasa yang tidak berkaitan' disediakan oleh protokol Reality di dalam Xray — komponen terpisah yang tidak kami jadikan pernyataan mutlak.

Proses masuk mitra menggunakan kode 6 digit sekali pakai yang dikirim ke email. Tidak ada kata sandi akun. Ini tidak berlaku untuk kredensial internal komponen yang dikelola, seperti kata sandi admin server yang dihasilkan. Kode dihasilkan oleh generator kriptografis; hanya hash HMAC-nya yang disimpan, dan perbandingannya dilakukan dalam waktu konstan. Saat berhasil, kode langsung dihapus, dan setelah 5 percobaan salah, kode dipadamkan lebih awal. Batas laju penerbitan dihitung baik per alamat lengkap maupun per kotak surat fisik: berganti IP, titik di Gmail, dan tag plus tidak memberikan batas tersendiri.

Token sesi berada di cookie HttpOnly dan Secure (JS tidak bisa membacanya), diverifikasi di backend (bukan hanya di edge). Batas waktu diam dan keluar-otomatis saat tidak aktif diterapkan di klien, bukan di server. Token ditandatangani dengan HS256; saat verifikasi, kami secara ketat menolak algoritma lain apa pun (termasuk 'none') — serangan pertukaran algoritma klasik tidak lolos. Token etalase dan token panel mitra dipisahkan berdasarkan audience: token pengguna akhir secara teknis tidak bisa menjangkau API mitra (dan sebaliknya). Mitra yang telah dihapus ditolak bahkan dengan token yang masih aktif.

Setiap sesi mitra memiliki pengidentifikasi sisi server yang stabil, yang tetap sama saat token diperpanjang. Keluar biasa mencabut seluruh sesi saat ini, bukan hanya satu token yang diterbitkan. Bagian “Sesi akun” menampilkan perangkat, alamat IP, waktu masuk, dan aktivitas terakhir; setiap sesi dapat diakhiri secara terpisah. Tindakan “Keluar di semua perangkat” mengakhiri semua sesi dan memutus AI yang terhubung.

Riwayat masuk disimpan selama 90 hari dan menampilkan proses masuk yang berhasil, kode yang salah dan kedaluwarsa, serta percobaan yang melebihi batas. Jika ada tanda penggunaan ulang token yang sudah ditukar, sistem menganggap sesi tersebut telah disalin, mengakhiri semua sesi dan koneksi AI, lalu mengirim pemberitahuan kepada pemilik.

Tidak ada token sesi di penyimpanan lokal browser, hanya pengaturan antarmuka. Token ditempatkan di cookie HttpOnly oleh lapisan server Next.js; browser tidak menerima alamat internal backend dan menjangkaunya melalui Server Actions. CORS tidak mengizinkan origin lain membaca respons API yang berisi data terotorisasi.

Ada pengecualian yang disengaja dan dikendalikan oleh pemilik sendiri: ekspor kunci SSH privat setelah kode dari email (SR-4) dan kunci Partner API baru, yang rahasia lengkapnya ditampilkan di browser satu kali saat dibuat. Setelah itu, kunci tersebut tidak dapat dipulihkan dari basis data — di sana hanya tersisa hash. Domain API publik dapat diakses dari internet sesuai peruntukannya, tetapi tanpa sesi yang valid, kunci API, atau token OAuth, domain itu tidak mengembalikan data yang dilindungi.

Host publik CreateYourVPN disajikan melalui HTTPS dengan HSTS (max-age dua tahun, includeSubDomains). Setiap frontend web yang kami inangi — situs platform, panel mitra, dan etalase mitra, baik di subdomain kami maupun di domain milik mitra — serta domain API mengirim rangkaian header keamanan yang sama: Content-Security-Policy (default-src 'none' di API; di frontend melarang penyematan dalam iframe serta mengunci base-uri dan form-action), X-Content-Type-Options: nosniff, X-Frame-Options, dan Referrer-Policy yang ketat (no-referrer di API; strict-origin-when-cross-origin di frontend, yang juga mengirim Permissions-Policy restriktif).

Ini berjalan di produksi pada semua host tersebut dan dapat diperiksa secara independen — dengan pemeriksa header HTTP apa pun atau layanan seperti SSL Labs.

Aplikasi AI terhubung melalui OAuth dan tidak menerima cookie panel Anda. Di halaman persetujuan, Anda memilih salah satu dari tiga tingkat: hanya melihat; melihat dan mengonfigurasi; menghapus dan memberi akses. Izin diperiksa oleh server pada setiap panggilan. Penghapusan yang kritis memerlukan kode sekali pakai tambahan dari email, dan seluruh koneksi dapat dicabut di bagian “AI terhubung”.

Setiap panggilan alat dicatat dalam log yang dapat dilihat pemilik, beserta hasilnya dan salinan argumen yang aman. Kata sandi, token, kunci API, kunci privat, dan tautan langganan dihapus sebelum dicatat; email pengguna disamarkan. Meski demikian, aplikasi AI yang dipilih tetap merupakan layanan pihak ketiga: data yang dengan sadar Anda percayakan kepadanya untuk dibaca atau diubah juga diproses menurut aturan penyedianya.