検証可能な主張。

パスワードは、最初のSSH接続を開き、サービスユーザーをインストールするためだけに必要です。パスワードは当社の接続のためのSSH認証として渡され、スクリプトの引数や環境変数として渡されることはありません。当社のデータベースにはパスワード用のフィールドがなく、スクリプトの実行環境に入ることも、ログに記録されることもありません（接続エラーにはアドレスとポートのみが含まれ、パスワードは決して含まれません）。メモリ上では、使用後にベストエフォートで消去されます — これは多層防御であって、保証ではありません。Goはガベージコレクションが行われるまで、値のコピーをヒープ上に保持することがあります。

正直な留保：これはあなたのサーバー上のrootパスワードのままです。インストール後、当社はSSH経由のパスワードログインとrootログインを無効化しますが、パスワード自体は変更しません — 必要であれば自分で変更してください。「保存していない」は事実ですが、「秘密でなくなった」わけではありません。

PasswordAuthentication no、PermitRootLogin no、SSHは非標準ポート（デフォルトは12011）へ移動、fail2ban有効（5回失敗で1時間のban）、鍵によるログインのみです。公開鍵は使用前に厳格に検証されます：改行（authorized_keys に余分な鍵を紛れ込ませる攻撃への対策）や、構文的に無効な鍵は拒否されます。

締め出し防止：新しいSSHポートが実際にlistenしていることをカーネルが（ss を通じて）確認するまで、ポート22は閉じられません。構成は sshd -t で、sudoルールは visudo -cf で検査され、エラー時はいずれもロールバックされます。

パネルはあなたのパスワードではなく、自ら生成する別の鍵（ed25519）で動作します。秘密鍵の部分は AES-256-GCM で暗号化されてデータベースに置かれます。暗号鍵（KEK）はデータベースとは別に — サーバーの環境変数に — 保存され、本番環境では必須です（安全でないデフォルト値はありません。KEKがなければ暗号サブシステムはそもそも起動しません）。同じ暗号化が、データベース内の重要な秘密情報 — Marzbanの管理者パスワード／トークン／JWT、Realityの鍵、決済プロバイダーの鍵、プロキシ認証情報のキャッシュ、バックアップ設定 — を保護します。

暗号化はデータを隠すだけでなく、認証もします（GCM認証タグ）：暗号化されたフィールドの改ざんは、復号時に検出されて拒否されます。各フィールドは毎回新しいランダムな nonce で暗号化されます。KEKの値がログに出ることはなく、記録されるのはその短いidだけです。

ケイパビリティトークンについて：/sub のサブスクリプショントークンはベアラー秘密情報です。検索のためにはその SHA-256 のみを保存し、すでに発行済みのリンクを再表示するために必要なコピーは AES-GCM の暗号文として保持します。古い平文のレコードは、HTTPサーバーの起動前に、fail-closed で新しい形式へ移行されます。決済 webhook のURL識別子は平文で保存されますが、それ自体はイベントを認証しません：真正性は HMAC 署名によって別途検証されます。

パートナーAPIキーの秘密情報は不可逆な形で保存されます：完全なキーが表示されるのは発行時の一度だけで、データベースに残るのはその秘密部分のSHA-256です。接続済みのAIのアクセストークンとリフレッシュトークンも平文では保存されません。接続は選択されたアクセスレベルに限定され、アカウントの所有者が解除できます。

鍵はサーバー上、メモリ内でのみ復号され、通常のAPIが鍵を返すことはありません。鍵を取得する唯一の方法は、意図的なエクスポート機能（「鍵を持ち出す」）であり、サインインに加えてワンタイムのメールコードで保護されています（コードは HMAC ハッシュとしてのみ保存され、定数時間で比較され、TTLは10分、試行は5回まで）。したがって鍵は意図的に取り出すことはできますが、通常のリクエストを通じて「漏洩」することはありません。

サーバーの状態が変わる前、そしてあらゆるバックグラウンドのネットワーク操作の前に、管理鍵を保持するフィールドは同期的にゼロクリアされます。データベースが消去を確認できない場合、操作はエラーを返し、再試行できます。削除は「ソフト」なままです：行と、秘密でないサービスデータは保持されます。これは、すでに作成されたバックアップの物理的な消去を意味するものではありません — それらのライフサイクルはバックアップの保持ポリシーによって管理されます。

パネルのルートでは、partner_id を署名済みのセッションから導出し、パートナーAPIでは、検証済みのAPIキーまたはAIのOAuth接続から導出します。所有者の識別子が、パス、クエリパラメーター、リクエストボディから取得されることはありません。APIキーにはさらに、スコープ、有効期限、プランによる制限があります。接続済みのAIの権限セットは、リクエストのたびに、所有者が選択したレベルから算出されます。

何かを返したり変更したりする前に、システムは、サーバー、クラスター、インバウンド、ルート、VPNユーザー、あるいは支払いがこのアカウントに属することを再確認します。データベースクエリは partner_id でスコープされ、複合ユニークキーと複合外部キーが、パートナーをまたぐ不正なリンクを拒否します。テストの認可マトリクスでは、リソース識別子を受け取るすべてのエンドポイントについて、明示的なIDORシナリオが必須です。

正直な留保：これはリクエストパス全体にわたるコード監査によって検証されており、公開のペネトレーションテストによるものではありません — ですからSR-16も、他と同様、バグバウンティでの反証を受け付けています。

すべてを自動で構成するため（Xray+Realityのインストール、構成の適用、メトリクスの読み取り）、パネルはサーバー上で完全な管理者権限を保持します（パスワードなしsudoを持つサービスユーザー経由の、root相当の権限）。これは管理のために必要であり、当社はこれを「限定的」とは呼びません。

リスクを下げる要素：秘密情報はプロセスのstdin経由でのみサーバーに渡され（コマンド引数としては渡さないため、プロセス一覧には見えません）、初回インストール後は、すべての管理接続がサーバーのピン留めされたホスト鍵を検証します — 「途中で」サーバーがすり替えられれば拒否されます。あなたが握っている制御：アクセスは、あなたがいつでも失効させられる鍵に依存します — サーバーを削除する（鍵がゼロクリアされる）か、単にホスティング事業者側でVPSを削除する（そうすればすべてが消えます）ことで。

VPNアカウント自体（VLESS/Reality）は、あなたのマスターサーバー上のMarzban内で作成され、そこに存在します。中央側で保存するのは、サブスクリプションリンクの発行に必要なものだけです：ランダムなサブスクリプショントークンと、プロキシ認証情報の暗号化されたスナップショット（キャッシュであり、真実の源はあなたのMarzbanです）。当社は通信、IP、ユーザーの訪問履歴を一切持ちません。

エンドユーザーのメールアドレスは当社に保存されません。アカウント名は不可逆に導出され、アドレスを含みません。ログインコードのメールは当社が送信するため、アドレスは送信キューを通過し、送信直後にそこから削除されます。再訪した利用者を見分けるために残るのは不可逆な指紋だけで、そこからアドレスは復元できません。アドレスが残る唯一のケースは率直に挙げます。支払い時に決済Webhookで届き、保存期間を限って決済ログに入ることです。

これらのサービスデータは必要な期間だけ保持し、自動的に消去します。メールは送信後すぐに送信キューから削除され、支払いイベントの本文は処理後に、再試行を待つイベントは90日間の期限内に削除されます。アカウントとそのすべてのデータは、「詳細設定」からご自身で削除できます。削除はメールに届くコードで確定します（詳細はリスク7をご覧ください）。当社はこれを曖昧な表現の陰に隠すのではなく、正直に開示しています。

CreateYourVPNプラットフォームは、あなたやあなたのユーザーがどのサイトを訪れたかという情報を、受け取ることも保存することもありません。メトリクス取り込みのスキーマは閉じています：物理的にIP、ドメイン、訪問のためのフィールドを持たず、集計値（一意のオンライン数、総バイト数、CPU/RAM/負荷）のみを持ちます。各ノードは自身のidに紐づく HMAC トークンで認証し、自分自身のメトリクスしか書き込めません。ノード上のバランサー（HAProxy）は SNI による TCP ルーターとして動作し、通信を復号しません。サーバー自体では、システムジャーナルはおよそ1時間を超えて保持されることはなく、syslog へ転送されることもありません。

プラットフォームレベルを超えて、サーバーも訪問記録を保持しません：Xrayのアクセスログは構成をプッシュするたびに強制的に無効化され（プラットフォームが log.access を none に設定します）、エッジプロキシはユーザーが接続するアドレスを記録しません。これはコードで強制され、フリート全体に展開されています。

サイトとパネルがどのように使われているかを把握するため、当社は Google Analytics を利用します（cookieバナーが cookie と統計の収集について注意を促します。詳細はプライバシーポリシーに記載しています）。OAuthの同意ページでは、分析ツールの読み込みを強制的に無効にしています：URLにはAI接続リクエストの有効期間の短い識別子が含まれており、これを第三者に渡してはならないためです。他の第三者トラッカーはありません：Sentry、PostHog、Mixpanel、広告ピクセルはありません。バックエンドには第三者テレメトリがなく、エンドユーザー向けのストアフロントは分析の対象外です。

留保：GAは（Google側で）あなたのIPと、閲覧したパネルページのアドレスを受け取ります。パネルのURLにはクラスター識別子のみが含まれ、メールアドレスは含まれません。

支払いと、すべてのカードデータは、連携したプロバイダー側（lava.top）で処理されます。当社が受け取るのは検証済みのwebhookイベントのみです：その真正性は、残高やアクセスが変更される前に、個々のプロバイダーがサポートする方式で確認されます。当社は完全なカード番号（PAN）やCVVを受け取りません。同じイベントの再送が二重の付与を引き起こすことはありません：イベントは重複排除されます。

留保：プロバイダーは、カードのメタデータ（ブランドと下4桁）や、支払者の氏名とメールアドレスを webhook のボディに含めることがあります。元のボディは、処理が完了するまでワーカーに必要です。処理が成功した後は、メールアドレスの手がかりとともに削除されます。再試行待ちや手動レビュー待ちのイベントは、保持期間（無活動90日）が終了するまでのみ元のボディを保持し、その後はカードのメタデータと支払者のメールアドレスが自動的に消去されます。「完全なカード番号は存在しない」は事実ですが、それはプロバイダー側の性質です（当社自身がボディをフィルタリングするわけではありません）。「カードについて何一つ見ていない」わけではありません。

アカウントについては、メールアドレス、最終ログイン時刻、インターフェースのモード、設定を保存します。課金については、残高と、チャージ用に指定されている場合はTelegramを保存します。アカウント保護のため、有効なセッションには作成日時と最終利用日時、IPアドレス、ユーザーエージェントが含まれます。成功および失敗したログイン試行の履歴は、同じ技術的な属性とともに90日間保存されます。

パネル全体のクリック履歴はありません。これとは別に、目的別のログがあります：パートナーAPIのリクエストは直近500件以内かつ約25時間分、インフラのイベントと診断結果は最大7日間分を保持し、接続済みのAIの操作はアカウントとともに保持します。AIの操作を記録する前に、パスワード、トークン、鍵、サブスクリプションリンクは削除され、ユーザーのメールアドレスは一部が伏せられます。

ファイアウォールはデフォルトで受信を拒否します。外向きに開いているのは：443（VPN、Xray+Reality）、非標準ポートのSSH（デフォルトは12011）、そして — マスターサーバー上では — Marzban管理パネルのポート（コントロールプレーンのIPに対してのみ）。ポート80は、Let's EncryptモードのHTTP-01のためだけに別途開かれます。ポート22はSSHの移動後に閉じられます。

ノードの管理ポートはマスターサーバーのIPに対してのみ開かれ、外向きには開かれません（このバインドに失敗すると、インストールは中止されます）。ファイアウォールが有効にならない場合、インストールは失敗します。ICMP echoはIPv4に対してのみ制限されます。当社はサーバーが「見えない」とは約束しません。IPv6が正しく動作するよう、IPv6のICMPは維持されます。

unattended upgrades がセキュリティパッケージの更新を自動でインストールします。留保：自動再起動は意図的に無効化されています（検証されていないカーネルが勝手に再起動しないように） — つまり、再起動を要する修正（カーネル、時にはOpenSSH）は、手動またはスケジュールされた再起動の後にのみ適用されます。「自動パッチ適用」はユーザーランドについては事実ですが、再起動を要するものについてはそうではありません。

当社は、サーバーが「見えない」とか「スキャンできない」とは主張しません。ポート443は開いており、他のあらゆるWebサーバーと同様に、TCP接続に応答します。「不正な接続に対しては、無関係な普通のWebサイトのように見える」という性質は、Xray内のRealityプロトコルによって提供されます — それは別個のコンポーネントであり、当社は絶対的なものとして扱いません。

パートナーのサインインは、メールで送られるワンタイムの6桁コードによって行われます。アカウントのパスワードはありません。これは、生成されたサーバーの管理者パスワードのような、管理対象コンポーネントの内部認証情報には当てはまりません。コードは暗号学的なジェネレーターで生成され、保存されるのはその HMAC ハッシュのみで、比較は定数時間で行われます。コードは成功時に即座に削除され、5回誤ると早期に無効化されます。発行のレート制限は、完全なアドレス単位と実際のメールボックス単位の両方で数えられます：IPの変更、Gmailアドレスのドット、プラス記号によるタグ付けでは、別の上限枠は得られません。

セッショントークンは HttpOnly かつ Secure な cookie（JSからは読み取れません）に置かれ、バックエンドで検証されます（エッジだけではありません）。アイドルタイムアウトと、無操作時の自動ログアウトは、サーバーではなくクライアント側で実装されています。トークンは HS256 で署名されます。検証時には、他のアルゴリズム（「none」を含む）を厳格に拒否します — 古典的なアルゴリズムすり替え攻撃は通りません。ストアフロントのトークンとパートナーパネルのトークンは、audience によって分離されています：エンドユーザーのトークンが技術的にパートナーAPIに到達することはできません（逆も同様です）。削除されたパートナーは、有効なトークンを持っていても拒否されます。

各パートナーセッションには、トークンを更新しても変わらない安定したサーバー側IDがあります。通常のログアウトは、発行されたトークン1つだけでなく、現在のセッション全体を取り消します。「アカウントのセッション」セクションでは、端末、IPアドレス、ログイン時刻、最終利用日時を確認でき、どのセッションも個別に終了できます。「すべての端末からログアウト」を実行すると、すべてのセッションが終了し、接続済みのAIも切断されます。

ログイン履歴は90日間保存され、成功したログイン、誤ったコードと期限切れのコード、試行回数の超過が表示されます。すでに交換済みのトークンが再利用された兆候を検知すると、システムはセッションが複製されたとみなし、すべてのセッションとAIの接続を終了して、所有者に通知を送信します。

ブラウザのローカルストレージにセッショントークンはなく、あるのはインターフェースの設定だけです。トークンを HttpOnly cookie に置くのは Next.js のサーバー層です。ブラウザはバックエンドの内部アドレスを受け取らず、Server Actions を介してバックエンドにアクセスします。CORSは、他のオリジンが認可済みのデータを含むAPIレスポンスを読み取ることを許可しません。

所有者自身が管理する意図的な例外もあります：メールで届いたコードを入力した後に行うSSH秘密鍵のエクスポート（SR-4）と、作成時に秘密情報全体がブラウザに一度だけ表示される新しいパートナーAPIキーです。その後はデータベースから復元できません：データベースに残るのはハッシュだけです。公開APIドメインは設計上インターネットからアクセスできますが、有効なセッション、APIキー、OAuthトークンのいずれもなければ、保護されたデータは返しません。

CreateYourVPN の公開ホストは、HSTS（max-age は2年、includeSubDomains）付きの HTTPS で配信されます。当社がホストするすべてのウェブフロントエンド——プラットフォームのサイト、パートナーパネル、そして当社のサブドメイン上かパートナー自身のドメイン上かを問わずパートナーのストアフロント——および API ドメインは、同一のセキュリティヘッダー一式を送信します。すなわち、Content-Security-Policy（API では default-src 'none'。フロントエンドでは iframe への埋め込みを禁止し、base-uri と form-action を固定します）、X-Content-Type-Options: nosniff、X-Frame-Options、そして固く絞り込んだ Referrer-Policy（API では no-referrer、フロントエンドでは strict-origin-when-cross-origin。フロントエンドは制限的な Permissions-Policy も送信します）です。

これはこれらすべてのホストで本番稼働しており、独立して検証できます——任意の HTTP ヘッダー検査ツールや、SSL Labs のようなサービスで確認できます。

AIアプリはOAuthを介して接続し、あなたのパネルのcookieを受け取ることはありません。同意ページでは、閲覧のみ、閲覧と設定、削除とアクセス付与の3つのレベルから1つを選択します。権限は呼び出しのたびにサーバーで検証されます。重要な削除操作には、メールで届くワンタイムコードが追加で必要です。接続全体は「接続済みのAI」セクションで解除できます。

ツールの呼び出しはすべて、結果と引数の安全なコピーとともに、所有者が確認できるログに記録されます。パスワード、トークン、APIキー、秘密鍵、サブスクリプションリンクは記録前に取り除かれ、ユーザーのメールアドレスは一部が伏せられます。ただし、選択したAIアプリは引き続き第三者のサービスです：あなたが意図的に読み取りや変更を任せたデータは、その提供元の規約にも従って処理されます。