검증 가능한 주장.

비밀번호는 첫 SSH 연결을 열고 서비스 사용자를 설치하는 데에만 필요합니다. 이 비밀번호는 스크립트 인자나 환경 변수가 아니라, 당사 연결을 위한 SSH 인증으로 전달됩니다. 당사 데이터베이스에는 이를 위한 필드가 없으며, 스크립트 실행 환경으로 들어가지 않고, 로그에도 기록되지 않습니다(연결 오류에는 주소와 포트만 포함되고 비밀번호는 절대 포함되지 않습니다). 메모리에서는 사용 후 (최선의 노력으로) 지워집니다 — 이는 보증이 아니라 심층 방어입니다. Go는 가비지 컬렉션 전까지 힙에 값의 사본을 남겨 둘 수 있습니다.

솔직한 단서: 이 비밀번호는 여전히 귀하 서버의 root 비밀번호입니다. 설치 후 당사는 SSH를 통한 비밀번호 및 root 로그인을 비활성화하지만, 비밀번호 자체는 변경하지 않습니다 — 원하시면 직접 변경하세요. '당사는 저장하지 않는다'는 사실이지만, '더 이상 비밀이 아니게 되었다'는 사실이 아닙니다.

PasswordAuthentication no, PermitRootLogin no, SSH는 비표준 포트(기본값 12011)로 이동, fail2ban 활성화(5회 실패 시 1시간 차단), 키를 통한 로그인만 허용됩니다. 공개 키는 사용 전에 엄격하게 검증됩니다. 개행 문자(authorized_keys에 추가 키를 몰래 끼워 넣는 것에 대한 방어)와 문법적으로 유효하지 않은 키는 거부됩니다.

잠금 방지: 커널이 (ss를 통해) 새 SSH 포트가 실제로 수신 대기 중임을 확인하기 전까지는 포트 22를 닫지 않습니다. 설정은 sshd -t로, sudo 규칙은 visudo -cf로 검사하며, 오류 발생 시 둘 다 롤백됩니다.

패널은 귀하의 비밀번호가 아니라 스스로 생성하는 별도의 키(ed25519)로 동작합니다. 개인 키 부분은 데이터베이스에 AES-256-GCM으로 암호화되어 보관됩니다. 암호화 키(KEK)는 데이터베이스와 분리되어 — 서버 환경 변수에 — 저장되며, 프로덕션에서는 필수입니다(안전하지 않은 기본값이 없습니다. KEK가 없으면 암호화 서브시스템은 아예 시작되지 않습니다). 동일한 암호화가 데이터베이스의 중요한 비밀들 — Marzban 관리자 비밀번호/토큰/JWT, Reality 키, 결제 제공업체 키, 프록시 자격 증명 캐시, 백업 설정 — 을 보호합니다.

암호화는 데이터를 숨길 뿐 아니라 인증합니다(GCM 인증 태그). 암호화된 필드를 변조하면 복호화 시 감지되어 거부됩니다. 모든 필드는 매번 새로운 무작위 nonce로 암호화되며, KEK 값은 로그에 절대 남지 않고 짧은 id만 남습니다.

권한 토큰에 대하여: /sub 구독 토큰은 bearer 비밀입니다. 조회용으로는 SHA-256만 저장하고, 이미 발급된 링크를 다시 표시하는 데 필요한 사본은 AES-GCM 암호문으로 보관합니다. 이전의 평문 레코드는 HTTP 서버가 시작되기 전에 fail-closed 방식으로 새 형식으로 마이그레이션됩니다. 결제 webhook URL 식별자는 평문으로 저장되지만 그 자체로 이벤트를 인증하지는 않습니다. 진위 여부는 HMAC 서명으로 별도로 검증됩니다.

키는 서버에서 메모리 안에서만 복호화되며, 일반 API는 이를 절대 반환하지 않습니다. 키를 얻는 유일한 방법은 의도적인 내보내기 기능('내 키 가져가기')이며, 이는 로그인과 일회용 이메일 코드로 보호됩니다(코드는 HMAC 해시로만 저장되고, 상수 시간으로 비교되며, TTL 10분, 시도 5회). 따라서 키는 의도적으로 가져올 수는 있지만, 일반 요청을 통해 '유출'될 수는 없습니다.

서버 상태가 변경되기 전, 그리고 어떤 백그라운드 네트워크 작업이 일어나기 전에, 관리 키를 담고 있는 필드가 동기적으로 0으로 지워집니다. 데이터베이스가 삭제를 확인하지 않으면, 작업은 오류를 반환하며 재시도할 수 있습니다. 삭제는 여전히 '소프트' 방식입니다. 행(row)과 비밀이 아닌 서비스 데이터는 보존됩니다. 이것이 이미 생성된 백업의 물리적 삭제를 의미하지는 않습니다 — 백업의 수명 주기는 백업 보존 정책이 관리합니다.

감사된 파트너 경로는 partner_id로 권한을 부여하며, 서버는 이 값을 클라이언트가 경로나 본문에 보낸 것이 아니라 서명된 로그인 토큰에서 도출합니다. 무엇을 반환하거나 변경하기 전에, 시스템은 요청된 서버, 클러스터, 인바운드, 경로, VPN 사용자 또는 결제가 귀하의 계정에 속하는지 다시 확인합니다. 해당 데이터베이스 쿼리는 귀하의 partner_id로 범위가 한정되며, 스키마(복합 고유 키와 복합 외래 키)가 유효하지 않은 파트너 간 연결을 거부합니다. 격리는 계층적입니다. 애플리케이션, 유스케이스 재확인, partner_id 필터, 그리고 스키마.

솔직한 단서: 이는 공개 침투 테스트가 아니라 요청 경로 전반에 대한 코드 감사로 검증되었습니다 — 따라서 SR-16도 나머지와 마찬가지로 버그 바운티에서 반박에 열려 있습니다.

모든 것을 자동으로 구성하기 위해(Xray+Reality 설치, 설정 적용, 지표 읽기) 패널은 서버에서 완전한 관리자 권한을 보유합니다(비밀번호 없는 sudo 권한을 가진 서비스 사용자를 통한 root 동등 권한). 이는 관리에 필요하며, 당사는 이를 '제한적'이라고 부르지 않습니다.

위험을 줄이는 요소: 비밀은 명령 인자가 아니라 프로세스의 stdin을 통해서만 서버에 전달되므로(프로세스 목록에 보이지 않습니다), 초기 설치 후 모든 관리 연결은 서버의 고정된(pinned) 호스트 키를 검증합니다 — '중간에서의' 서버 교체는 거부됩니다. 귀하가 통제하는 것: 접근 권한은 귀하가 언제든지 취소할 수 있는 키에 달려 있습니다 — 서버를 삭제하거나(키가 0으로 지워집니다) 호스트에서 VPS를 그냥 삭제하면(그러면 모든 것이 사라집니다) 됩니다.

VPN 계정 자체(VLESS/Reality)는 귀하의 마스터 서버의 Marzban에서 생성되고 존재합니다. 당사가 중앙에서 저장하는 것은 구독 링크를 발급하는 데 필요한 것뿐입니다. 즉, 무작위 구독 토큰과 프록시 자격 증명의 암호화된 스냅샷(캐시이며, 진실의 원천은 귀하의 Marzban입니다)입니다. 당사에는 트래픽, IP, 또는 사용자 방문 기록이 없습니다.

최종 사용자의 이메일이 실제로 저희 중앙 데이터베이스를 거치는 지점을 정직하게 나열하면 다음과 같습니다: 로그인 코드 이메일은 저희가 보내므로 주소가 저희 발송 대기열을 거칩니다(무료를 포함한 모든 스토어프론트 로그인에 대해); 결제 시 구매자의 이메일이 결제 webhook으로 도착해 결제 로그에 들어갑니다; Telegram을 연결할 때 이메일이 프로필에 저장됩니다. 이것이 유일한 접점이며 — 업무상 필요에 따른 것으로 — 그 어느 것도 트래픽이나 사용자 행동과는 관련이 없습니다.

이 서비스 데이터는 필요한 기간 동안만 보관하고 자동으로 삭제합니다: 이메일은 발송 직후 발송 대기열에서 제거되고, 결제 이벤트 본문은 처리 후에, 재시도를 기다리는 이벤트는 90일 기간 내에 삭제됩니다. 지원팀에 문의하시면 계정과 그에 연결된 데이터를 함께 삭제하실 수 있습니다(자세한 내용은 위험 7 참조). 저희는 이를 모호한 표현 뒤에 숨기지 않고 솔직하게 공개합니다.

CreateYourVPN 플랫폼은 귀하나 귀하의 사용자가 어떤 사이트를 방문하는지에 대한 정보를 수신하거나 저장하지 않습니다. 지표 수집 스키마는 닫혀 있습니다. 물리적으로 IP, 도메인, 방문에 대한 필드가 없으며, 집계값(고유 온라인 수, 총 바이트, CPU/RAM/부하)만 있습니다. 각 노드는 자신의 id에 연결된 HMAC 토큰으로 인증하며, 자기 자신에 대한 지표만 기록할 수 있습니다. 노드 상의 밸런서(HAProxy)는 SNI 기반 TCP 라우터로 동작하며 트래픽을 복호화하지 않습니다. 서버 자체에서 시스템 저널은 약 1시간 이내로만 보관되며 syslog로 전달되지 않습니다.

플랫폼 수준을 넘어, 서버 또한 방문 기록을 보관하지 않습니다: Xray 접근 로깅은 모든 설정 푸시마다 강제로 비활성화되며(플랫폼이 log.access를 none으로 설정), 따라서 엣지 프록시는 사용자가 접속하는 주소를 기록하지 않습니다. 이것은 코드로 강제되며 플릿 전체에 배포되었습니다.

사이트와 패널이 어떻게 사용되는지 이해하기 위해 당사는 Google Analytics를 사용합니다(쿠키 배너가 쿠키 및 통계 수집에 대해 안내하며, 자세한 내용은 개인정보 처리방침에 있습니다). 다른 제3자 추적기는 없습니다. Sentry, PostHog, Mixpanel, 광고 픽셀 모두 없습니다(양쪽 프런트엔드를 검색하여 확인함). 백엔드에는 제3자 텔레메트리가 전혀 없습니다. 최종 사용자 스토어프론트는 분석 대상이 전혀 아닙니다 — GA도, 추적기도 없습니다(소스에서 검증 가능).

단서: GA는 (Google 측에서) 귀하의 IP와 조회된 패널 페이지의 주소를 수신합니다. 패널 URL에는 이메일이 아니라 클러스터 식별자만 포함됩니다.

결제와 모든 카드 데이터는 제공업체 측(Tribute / Lemon Squeezy)에서 처리됩니다. 당사는 서명된 webhook만 수신합니다(HMAC-SHA256, 상수 시간 비교, 본문이 파싱되기 전과 데이터베이스에 기록되기 전에 검증됨. 비밀을 모르면 이벤트는 검증에 실패합니다). 당사는 전체 카드 번호(PAN)나 CVV를 수신하지 않습니다. 동일한 webhook의 재전송(제공업체 재시도)은 이중 지급을 유발하지 않습니다 — 이벤트는 중복 제거됩니다.

단서: 제공업체는 webhook 본문에 카드 메타데이터(브랜드와 마지막 4자리)와 결제자의 이름 및 이메일을 포함할 수 있습니다. 원본 본문은 처리가 완료될 때까지 워커에 필요하며, 성공적으로 처리된 후에는 이메일 힌트와 함께 삭제됩니다. 재시도 또는 수동 검토를 기다리는 이벤트는 보존 기간(무활동 90일)이 끝날 때까지만 원본 본문을 보관하며, 그 이후에는 카드 메타데이터와 결제자의 이메일이 자동으로 삭제됩니다. '전체 카드 번호는 없다'는 사실이지만, 이는 제공업체의 특성입니다(당사가 직접 본문을 필터링하지는 않습니다). '카드에 대해 아무것도 볼 수 없다'는 사실이 아닙니다.

이메일(로그인에 필요), 마지막 로그인 시간, 인터페이스 모드. 결제의 경우 — 잔액과 Telegram(충전용). 파트너의 IP는 데이터베이스에 저장되지 않으며, 당사는 패널에서 클릭이나 동작 기록을 보관하지 않습니다(오류 시의 짧은 접근 로그 제외).

방화벽은 기본적으로 들어오는 연결을 차단합니다. 외부로 열린 것: 443(VPN, Xray+Reality), 비표준 포트의 SSH(기본값 12011), 그리고 — 마스터 서버에서 — Marzban 관리자 패널 포트로, 컨트롤 플레인 IP에 대해서만 열립니다. 포트 80은 HTTP-01을 위한 Let's Encrypt 모드에서만 별도로 열립니다. 포트 22는 SSH가 이동된 후 닫힙니다.

노드의 관리 포트는 외부가 아니라 마스터 서버의 IP에만 열립니다(이 바인딩이 실패하면 설치가 중단됩니다). 방화벽이 활성화되지 않으면 설치가 실패합니다. ICMP echo는 IPv4에 대해서만 제한됩니다. 당사는 서버가 '보이지 않는다'고 약속하지 않으며, IPv6가 올바르게 동작하도록 IPv6 ICMP는 유지됩니다.

무인 업그레이드(unattended upgrades)가 보안 패키지 업데이트를 자동으로 설치합니다. 단서: 자동 재부팅은 의도적으로 비활성화되어 있습니다(검증되지 않은 커널이 스스로 재부팅하지 않도록) — 이는 재부팅이 필요한 수정 사항(커널, 때로는 OpenSSH)이 수동 또는 예약된 재부팅 후에만 적용됨을 의미합니다. '자동 패치'는 유저랜드에는 해당하지만, 재부팅이 필요한 것에는 해당하지 않습니다.

당사는 서버가 '보이지 않는다'거나 '스캔할 수 없다'고 주장하지 않습니다. 포트 443은 열려 있으며, 여느 웹 서버처럼 TCP 연결에 응답합니다. '잘못된 연결에서는 관련 없는 평범한 웹사이트처럼 보인다'는 특성은 Xray 내부의 Reality 프로토콜이 제공합니다 — 이는 당사가 절대적 표현으로 만들지 않는 별도의 구성 요소입니다.

파트너 로그인은 이메일로 전송되는 일회용 6자리 코드로 이루어집니다. 계정 비밀번호는 없습니다. 이는 생성된 Marzban 관리자 비밀번호와 같은 관리 대상 구성 요소의 내부 자격 증명에는 적용되지 않습니다. 코드는 암호학적 생성기로 생성되며, HMAC 해시만 저장되고, 비교는 상수 시간으로 이루어집니다. 코드는 일회용입니다. 성공 시 즉시 삭제되며(재사용 불가), 5회 잘못 시도하면 조기에 무효화됩니다. 발급 속도 제한은 IP가 아니라 이메일 단위로 계산됩니다 — 주소를 바꿔서 우회할 수 없습니다.

세션 토큰은 HttpOnly 및 Secure 쿠키에 담기며(JS는 이를 읽을 수 없습니다), 엣지에서만이 아니라 백엔드에서 검증됩니다. 유휴 타임아웃과 비활성 시 자동 로그아웃은 서버가 아니라 클라이언트에서 구현됩니다. 토큰은 HS256으로 서명되며, 검증 시 다른 모든 알고리즘('none' 포함)을 엄격히 거부합니다 — 고전적인 알고리즘 교체 공격은 통하지 않습니다. 스토어프론트 토큰과 파트너 패널 토큰은 audience로 분리됩니다. 최종 사용자 토큰은 기술적으로 파트너 API에 도달할 수 없습니다(그 반대도 마찬가지). 삭제된 파트너는 유효한 토큰으로도 거부됩니다.

단서: 취소(revocation)는 토큰 자체를 무효화하는 것이 아니라 모든 요청에서 파트너가 존재하는지 확인하는 방식으로 구현됩니다. 로그아웃은 쿠키를 삭제하지만, 발급된 토큰은 만료(최대 1시간)까지 암호학적으로 유효한 상태로 남습니다. 아직 중앙 집중식 취소 목록은 없습니다(의식적인 MVP 단순화).

브라우저 로컬 스토리지에는 토큰이 없습니다(UI 설정만 있음). 비밀이나 API 주소는 클라이언트 번들에 들어가지 않습니다. 오직 서버(Next.js)만 토큰을 HttpOnly 쿠키에 넣습니다. 브라우저는 오직 서버(Server Actions)를 통해서만 코어와 통신합니다. 프런트엔드는 브라우저에서 API를 직접 호출하지 않으며, CORS는 다른 오리진에서의 API 응답을 브라우저가 읽는 것을 허용하지 않습니다.

이전의 절대적 표현 대신의 설명: API 도메인 자체는 공개 호스트입니다 — 기술적으로는 브라우저에서 열 수 있지만, 세션이 없으면 인가된 데이터를 반환하지 않습니다.

CreateYourVPN의 공개 도메인은 HSTS(max-age 2년, includeSubDomains)와 함께 HTTPS로 제공됩니다. 웹 프런트엔드와 API 도메인 모두 엄격한 보안 헤더 세트를 전송합니다: 제한적인 Content-Security-Policy, X-Content-Type-Options: nosniff, X-Frame-Options, 그리고 잠긴 Referrer-Policy(API에서는 no-referrer; 프런트엔드에서는 strict-origin-when-cross-origin이며, 프런트엔드는 제한적인 Permissions-Policy도 전송합니다).

이는 두 도메인 모두에서 프로덕션으로 운영 중이며 독립적으로 확인할 수 있습니다 — 임의의 HTTP 헤더 검사 도구나 SSL Labs 같은 서비스로 확인 가능합니다.