Dakwaan yang boleh disahkan.

Kata laluan hanya diperlukan untuk membuka sambungan SSH pertama dan memasang pengguna perkhidmatan. Ia dihantar sebagai pengesahan SSH untuk sambungan kami — bukan sebagai argumen skrip atau pemboleh ubah persekitaran. Pangkalan data kami tiada medan untuknya; ia tidak masuk ke persekitaran pelaksanaan skrip dan tidak ditulis ke log (ralat sambungan hanya mengandungi alamat dan port, tidak pernah kata laluan). Dalam ingatan, ia dipadam (sebaik mungkin) selepas digunakan — itu pertahanan berlapis, bukan jaminan: Go mungkin menyimpan salinan nilai tersebut pada heap sehingga pengumpulan sampah (garbage collection).

Kaveat jujur: ini kekal sebagai kata laluan root pada server anda. Selepas pemasangan, kami menyahdayakan log masuk kata laluan dan root melalui SSH, tetapi kami tidak menukar kata laluannya sendiri — tukarkannya sendiri jika anda mahu. 'Kami tidak menyimpannya' itu benar; 'ia berhenti menjadi rahsia' tidak.

PasswordAuthentication no, PermitRootLogin no, SSH dipindahkan ke port bukan standard (12011 secara lalai), fail2ban didayakan (sekatan sejam selepas 5 kali gagal), log masuk dengan kunci sahaja. Kunci awam disahkan secara ketat sebelum digunakan: baris baharu (perlindungan daripada menyelitkan kunci tambahan ke dalam authorized_keys) dan kunci yang tidak sah dari segi sintaks ditolak.

Anti-terkunci: port 22 tidak ditutup sehingga kernel mengesahkan (melalui ss) bahawa port SSH baharu benar-benar mendengar; konfigurasi diperiksa dengan sshd -t dan peraturan sudo dengan visudo -cf, kedua-duanya diundurkan jika berlaku ralat.

Panel bekerja bukan dengan kata laluan anda, tetapi dengan kunci berasingan (ed25519) yang dijananya sendiri. Bahagian peribadinya berada dalam pangkalan data, disulitkan dengan AES-256-GCM. Kunci penyulitan (KEK) disimpan berasingan daripada pangkalan data — dalam pemboleh ubah persekitaran server — dan dalam pengeluaran ia diwajibkan (tiada lalai yang tidak selamat: tanpa KEK, subsistem kripto tidak akan bermula). Penyulitan yang sama melindungi rahsia-rahsia berat dalam pangkalan data — kata laluan/token/JWT admin Marzban, kunci Reality, kunci penyedia pembayaran, cache kredensial proxy, konfigurasi backup.

Penyulitan bukan sekadar menyembunyikan, tetapi juga mengesahkan data (tag pengesahan GCM): gangguan pada medan tersulit dikesan semasa penyahsulitan dan ditolak. Setiap medan disulitkan dengan nonce rawak yang baharu; nilai KEK tidak pernah sampai ke log — hanya id pendeknya.

Tentang token keupayaan: token langganan /sub ialah rahsia pembawa (bearer). Untuk carian, kami hanya menyimpan SHA-256-nya, manakala salinan yang diperlukan untuk memaparkan semula pautan yang telah dikeluarkan disimpan sebagai ciphertext AES-GCM. Rekod teks-biasa yang lebih lama dimigrasikan ke format baharu, secara fail-closed, sebelum server HTTP bermula. Pengecam URL webhook pembayaran disimpan secara terbuka tetapi dengan sendirinya tidak mengesahkan sesuatu peristiwa: kesahihannya disahkan secara berasingan oleh tandatangan HMAC.

Kunci hanya dinyahsulit pada server, dalam ingatan; API biasa tidak pernah memulangkannya. Satu-satunya cara memperolehnya ialah fungsi eksport yang sengaja ('ambil kunci anda'), yang dilindungi oleh log masuk serta kod e-mel sekali guna (kod hanya disimpan sebagai cincangan HMAC, dibandingkan dalam masa malar, TTL 10 minit, 5 percubaan). Jadi kunci boleh diambil dengan sengaja, tetapi tidak 'bocor' melalui permintaan biasa.

Sebelum keadaan server berubah dan sebelum sebarang operasi rangkaian latar belakang, medan-medan yang menyimpan kunci pengurusan disifarkan secara segerak. Jika pangkalan data tidak mengesahkan pembersihan itu, operasi memulangkan ralat dan boleh dicuba semula. Pemadaman kekal 'lembut' (soft): baris dan data perkhidmatan yang bukan rahsia dikekalkan. Ini tidak bermakna pemadaman fizikal backup yang telah dicipta — kitaran hayatnya dikawal oleh dasar pengekalan backup.

Laluan rakan kongsi yang diaudit memberi kebenaran berdasarkan partner_id, yang diterbitkan server daripada token log masuk bertandatangan — bukan daripada apa yang dihantar klien dalam path atau body. Sebelum memulangkan atau mengubah apa-apa, sistem memeriksa semula bahawa server, kluster, inbound, laluan, pengguna VPN atau pembayaran yang diminta adalah milik akaun anda; pertanyaan pangkalan data yang berkaitan dihadkan oleh partner_id anda, dan skemanya (kunci unik komposit serta kunci asing komposit) menolak pautan silang-rakan kongsi yang tidak sah. Pengasingan berlapis: aplikasi, pemeriksaan semula usecase, penapis partner_id, dan skema.

Kaveat jujur: ini disahkan oleh audit kod di sepanjang laluan permintaan, bukan oleh ujian penembusan awam — jadi SR-16, seperti yang lain, terbuka untuk disangkal dalam bug bounty.

Untuk mengkonfigurasi semuanya secara automatik (memasang Xray+Reality, menerapkan konfigurasi, membaca metrik), panel memegang akses pentadbiran penuh pada server (setara root, melalui pengguna perkhidmatan dengan sudo tanpa kata laluan). Ini perlu untuk pengurusan, dan kami TIDAK menyebutnya 'terhad'.

Apa yang mengurangkan risiko: rahsia dihantar ke server hanya melalui stdin proses (bukan sebagai argumen perintah — ia tidak kelihatan dalam senarai proses); selepas pemasangan awal, setiap sambungan pengurusan mengesahkan host key server yang telah disemat (pinned) — pertukaran server 'di tengah' ditolak. Apa yang anda kawal: akses bergantung pada kunci yang boleh anda batalkan pada bila-bila masa — dengan memadam server (kunci disifarkan) atau sekadar memadam VPS di penyedia anda (kemudian semuanya lenyap).

Akaun VPN itu sendiri (VLESS/Reality) dicipta dan berada dalam Marzban pada server master anda. Secara berpusat, kami hanya menyimpan apa yang diperlukan untuk mengeluarkan pautan langganan: token langganan rawak dan snapshot tersulit bagi kredensial proxy (sebuah cache; sumber kebenarannya ialah Marzban anda). Kami tiada sejarah trafik, IP, atau lawatan pengguna.

Alamat e-mel pengguna akhir tidak kami simpan: nama akaunnya diterbitkan secara tak boleh balik dan tidak mengandungi alamat. E-mel dengan kod log masuk dihantar oleh kami, jadi alamat itu melalui baris gilir penghantaran kami dan dibuang daripadanya sebaik sahaja dihantar — untuk mengenali pengguna yang kembali hanya tinggal cap jari tak boleh balik, dan alamat tidak boleh dipulihkan daripadanya. Satu-satunya keadaan yang alamatnya tetap kekal kami sebut secara terus: semasa pembayaran ia tiba dalam webhook pembayaran dan masuk ke log pembayaran dengan tempoh simpanan terhad.

Data perkhidmatan ini kami simpan hanya selama yang diperlukan dan kami bersihkan secara automatik: email dikeluarkan daripada baris gilir penghantaran sebaik sahaja dihantar, kandungan peristiwa pembayaran selepas diproses, dan peristiwa yang menunggu percubaan semula dalam tempoh 90 hari. Anda boleh memadamkan akaun anda berserta data yang berkaitan dengannya dengan menghubungi sokongan (lihat risiko 7 untuk butiran). Kami mendedahkan perkara ini secara terbuka dan bukannya menyembunyikannya di sebalik kata-kata yang kabur.

Platform CreateYourVPN tidak menerima atau menyimpan maklumat tentang laman mana yang anda atau pengguna anda lawati. Skema pengambilan metrik bersifat tertutup: secara fizikal ia tiada medan untuk IP, domain, atau lawatan — hanya agregat (kiraan unik dalam talian, jumlah bait, CPU/RAM/beban). Setiap nod mengesahkan dengan token HMAC yang terikat pada id-nya sendiri dan hanya boleh menulis metrik untuk dirinya sendiri. Pengimbang pada nod (HAProxy) berfungsi sebagai penghala TCP mengikut SNI dan tidak menyahsulit trafik. Pada server itu sendiri, jurnal sistem (journald) disimpan tidak lebih daripada kira-kira sejam dan tidak dimajukan ke syslog.

Melampaui peringkat platform, server juga tidak menyimpan jurnal lawatan: pengelogan akses Xray dipaksa dimatikan pada setiap tolakan konfigurasi (platform menetapkan log.access kepada none), jadi proksi tepi tidak merekod alamat yang disambungkan oleh pengguna. Ini dikuatkuasakan dalam kod dan disebarkan ke seluruh armada.

Untuk memahami cara laman dan panel digunakan, kami menggunakan Google Analytics (sepanduk kuki memberi amaran tentang pengumpulan kuki dan statistik; butirannya ada dalam Dasar Privasi). Tiada penjejak pihak ketiga lain: tiada Sentry, PostHog, Mixpanel, atau piksel iklan (disahkan dengan mencari kedua-dua frontend). Backend langsung tiada telemetri pihak ketiga. Gerai pengguna akhir langsung tidak diliputi analitik — tiada GA, tiada penjejak (boleh disahkan daripada sumbernya).

Kaveat: GA menerima IP anda (di pihak Google) dan alamat halaman panel yang dilihat; URL panel hanya mengandungi pengecam kluster, bukan e-mel.

Pembayaran dan semua data kad dikendalikan di pihak penyedia (Tribute / Lemon Squeezy). Kami hanya menerima webhook bertandatangan (HMAC-SHA256, perbandingan masa malar, disahkan sebelum body dihuraikan dan sebelum sebarang penulisan pangkalan data: tanpa mengetahui rahsianya, sesuatu peristiwa gagal pengesahan). Kami tidak menerima nombor kad penuh (PAN) atau CVV. Penghantaran semula webhook yang sama (percubaan semula penyedia) tidak menyebabkan pemberian berganda — peristiwa dinyahduplikat.

Kaveat: penyedia mungkin menyertakan metadata kad (jenama dan 4 digit terakhir) serta nama dan e-mel pembayar dalam body webhook. Body asal diperlukan oleh worker sehingga pemprosesan selesai; selepas berjaya diproses, ia dipadam bersama petunjuk e-mel. Peristiwa yang menunggu percubaan semula atau semakan manual menyimpan body asal hanya sehingga akhir tempoh pengekalan (90 hari tanpa aktiviti), selepas itu metadata kad dan e-mel pembayar dipadam secara automatik. 'Tiada nombor kad penuh' itu benar, tetapi itu sifat para penyedia (kami sendiri tidak menapis body); 'kami tidak melihat apa-apa tentang kad langsung' tidak.

E-mel (diperlukan untuk log masuk), masa log masuk terakhir, mod antara muka; untuk pengebilan — baki dan Telegram (untuk tambah nilai). IP rakan kongsi tidak disimpan dalam pangkalan data, dan kami tidak menyimpan sebarang sejarah klik atau tindakan dalam panel (selain log akses ringkas semasa ralat).

Firewall menolak sambungan masuk secara lalai. Yang terbuka ke luar: 443 (VPN, Xray+Reality), SSH pada port bukan standard (12011 secara lalai), dan — pada server master — port panel admin Marzban, hanya untuk IP control-plane. Port 80 dibuka secara berasingan hanya dalam mod Let's Encrypt untuk HTTP-01. Port 22 ditutup selepas SSH dipindahkan.

Port pengurusan nod hanya terbuka kepada IP server master, bukan ke luar (kegagalan pengikatan ini membatalkan pemasangan). Jika firewall tidak menjadi aktif, pemasangan gagal. ICMP echo dihadkan hanya untuk IPv4; kami tidak menjanjikan server 'tidak kelihatan', dan ICMP IPv6 dikekalkan supaya IPv6 berfungsi dengan betul.

Unattended upgrades memasang kemas kini pakej keselamatan secara automatik. Kaveat: but semula automatik sengaja dinyahdayakan (supaya kernel yang belum disahkan tidak but semula dengan sendirinya) — yang bermaksud pembetulan yang memerlukan but semula (kernel, kadangkala OpenSSH) hanya digunakan selepas but semula manual atau berjadual. 'Penampalan automatik' benar untuk userland, bukan untuk yang memerlukan but semula.

Kami TIDAK mendakwa server 'tidak kelihatan' atau 'tidak boleh diimbas'. Port 443 terbuka dan menjawab sambungan TCP seperti mana-mana server web. Sifat 'pada sambungan yang salah ia kelihatan seperti sebuah laman web biasa yang tidak berkaitan' disediakan oleh protokol Reality di dalam Xray — komponen berasingan yang tidak kami jadikan pernyataan mutlak.

Log masuk rakan kongsi menggunakan kod 6 digit sekali guna yang dihantar ke e-mel. Tiada kata laluan akaun. Ini tidak terpakai untuk kredensial dalaman komponen yang diurus, seperti kata laluan admin Marzban yang dijana. Kod dijana oleh penjana kriptografi; hanya cincangan HMAC-nya disimpan, dan perbandingan dilakukan dalam masa malar. Kod adalah sekali guna: apabila berjaya, ia terus dipadam (tiada replay); selepas 5 percubaan salah, ia dipadamkan lebih awal. Had kadar pengeluaran dikira setiap e-mel, bukan setiap IP — ia tidak boleh dipintas dengan menukar alamat.

Token sesi berada dalam kuki HttpOnly dan Secure (JS tidak boleh membacanya), disahkan pada backend (bukan hanya pada edge). Tamat masa melahu dan log keluar automatik semasa tidak aktif dilaksanakan pada klien, bukan pada server. Token ditandatangani dengan HS256; semasa pengesahan, kami menolak keras sebarang algoritma lain (termasuk 'none') — serangan pertukaran algoritma klasik tidak lepas. Token gerai dan token panel rakan kongsi dipisahkan mengikut audience: token pengguna akhir secara teknikal tidak boleh mencapai API rakan kongsi (dan sebaliknya). Rakan kongsi yang telah dipadam ditolak walaupun dengan token yang masih hidup.

Log keluar menamatkan sesi pada pelayan, bukan hanya dalam pelayar: token yang ditunjukkan semasa log keluar tidak lagi diterima, jadi salinan yang diambil lebih awal menjadi tidak berguna selepas itu. Dalam panel, ini hanya melibatkan sesi tempat anda log keluar — peranti anda yang lain kekal log masuk; dalam ruang pelanggan, log keluar menamatkan semua sesi akaun tersebut. Sesi yang dibuka sebelum perubahan ini tidak membawa penanda pembatalan dan hanya tamat tempoh dengan sendirinya.

Tiada token dalam storan setempat pelayar (hanya tetapan UI); tiada rahsia atau alamat API yang masuk ke dalam himpunan klien. Hanya server (Next.js) meletakkan token dalam kuki HttpOnly. Pelayar bercakap dengan teras hanya melalui server (Server Actions): frontend tidak memanggil API terus dari pelayar, dan CORS tidak membenarkan pelayar membaca respons API daripada origin lain.

Penjelasan menggantikan pernyataan mutlak yang lama: domain API itu sendiri ialah hos awam — secara teknikal anda boleh membukanya dari pelayar, tetapi tanpa sesi ia tidak memulangkan sebarang data yang dibenarkan.

Hos awam CreateYourVPN disajikan melalui HTTPS dengan HSTS (max-age dua tahun, includeSubDomains). Setiap frontend web yang kami hoskan — laman platform, panel rakan kongsi dan kedai rakan kongsi, sama ada pada subdomain kami atau pada domain milik rakan kongsi — serta domain API menghantar set pengepala keselamatan yang sama: Content-Security-Policy (default-src 'none' pada API; pada frontend ia melarang pembenaman dalam iframe dan mengunci base-uri serta form-action), X-Content-Type-Options: nosniff, X-Frame-Options dan Referrer-Policy yang ketat (no-referrer pada API; strict-origin-when-cross-origin pada frontend, yang turut menghantar Permissions-Policy restriktif).

Ini berjalan dalam produksi pada semua hos tersebut dan boleh disemak secara bebas — dengan mana-mana pemeriksa pengepala HTTP atau perkhidmatan seperti SSL Labs.