Dakwaan yang boleh disahkan.

Kata laluan hanya diperlukan untuk membuka sambungan SSH pertama dan memasang pengguna perkhidmatan. Ia dihantar sebagai pengesahan SSH untuk sambungan kami — bukan sebagai argumen skrip atau pemboleh ubah persekitaran. Pangkalan data kami tiada medan untuknya; ia tidak masuk ke persekitaran pelaksanaan skrip dan tidak ditulis ke log (ralat sambungan hanya mengandungi alamat dan port, tidak pernah kata laluan). Dalam ingatan, ia dipadam (sebaik mungkin) selepas digunakan — itu pertahanan berlapis, bukan jaminan: Go mungkin menyimpan salinan nilai tersebut pada heap sehingga pengumpulan sampah (garbage collection).

Kaveat jujur: ini kekal sebagai kata laluan root pada server anda. Selepas pemasangan, kami menyahdayakan log masuk kata laluan dan root melalui SSH, tetapi kami tidak menukar kata laluannya sendiri — tukarkannya sendiri jika anda mahu. 'Kami tidak menyimpannya' itu benar; 'ia berhenti menjadi rahsia' tidak.

PasswordAuthentication no, PermitRootLogin no, SSH dipindahkan ke port bukan standard (12011 secara lalai), fail2ban didayakan (sekatan sejam selepas 5 kali gagal), log masuk dengan kunci sahaja. Kunci awam disahkan secara ketat sebelum digunakan: baris baharu (perlindungan daripada menyelitkan kunci tambahan ke dalam authorized_keys) dan kunci yang tidak sah dari segi sintaks ditolak.

Anti-terkunci: port 22 tidak ditutup sehingga kernel mengesahkan (melalui ss) bahawa port SSH baharu benar-benar mendengar; konfigurasi diperiksa dengan sshd -t dan peraturan sudo dengan visudo -cf, kedua-duanya diundurkan jika berlaku ralat.

Panel bekerja bukan dengan kata laluan anda, tetapi dengan kunci berasingan (ed25519) yang dijananya sendiri. Bahagian peribadinya berada dalam pangkalan data, disulitkan dengan AES-256-GCM. Kunci penyulitan (KEK) disimpan berasingan daripada pangkalan data — dalam pemboleh ubah persekitaran server — dan dalam pengeluaran ia diwajibkan (tiada lalai yang tidak selamat: tanpa KEK, subsistem kripto tidak akan bermula). Penyulitan yang sama melindungi rahsia-rahsia berat dalam pangkalan data — kata laluan/token/JWT admin Marzban, kunci Reality, kunci penyedia pembayaran, cache kredensial proxy, konfigurasi backup.

Penyulitan bukan sekadar menyembunyikan, tetapi juga mengesahkan data (tag pengesahan GCM): gangguan pada medan tersulit dikesan semasa penyahsulitan dan ditolak. Setiap medan disulitkan dengan nonce rawak yang baharu; nilai KEK tidak pernah sampai ke log — hanya id pendeknya.

Tentang token keupayaan: token langganan /sub ialah rahsia pembawa (bearer). Untuk carian, kami hanya menyimpan SHA-256-nya, manakala salinan yang diperlukan untuk memaparkan semula pautan yang telah dikeluarkan disimpan sebagai ciphertext AES-GCM. Rekod teks-biasa yang lebih lama dimigrasikan ke format baharu, secara fail-closed, sebelum server HTTP bermula. Pengecam URL webhook pembayaran disimpan secara terbuka tetapi dengan sendirinya tidak mengesahkan sesuatu peristiwa: kesahihannya disahkan secara berasingan oleh tandatangan HMAC.

Rahsia kunci Partner API bersifat tak boleh balik: kunci penuh hanya dipaparkan sekali semasa dikeluarkan, dan yang kekal dalam pangkalan data ialah SHA-256 bahagian rahsianya. Token akses dan refresh bagi AI yang disambungkan juga tidak disimpan dalam teks biasa; sambungan dihadkan kepada tahap akses yang dipilih dan boleh dibatalkan oleh pemilik akaun.

Kunci hanya dinyahsulit pada server, dalam ingatan; API biasa tidak pernah memulangkannya. Satu-satunya cara memperolehnya ialah fungsi eksport yang sengaja ('ambil kunci anda'), yang dilindungi oleh log masuk serta kod e-mel sekali guna (kod hanya disimpan sebagai cincangan HMAC, dibandingkan dalam masa malar, TTL 10 minit, 5 percubaan). Jadi kunci boleh diambil dengan sengaja, tetapi tidak 'bocor' melalui permintaan biasa.

Sebelum keadaan server berubah dan sebelum sebarang operasi rangkaian latar belakang, medan-medan yang menyimpan kunci pengurusan disifarkan secara segerak. Jika pangkalan data tidak mengesahkan pembersihan itu, operasi memulangkan ralat dan boleh dicuba semula. Pemadaman kekal 'lembut' (soft): baris dan data perkhidmatan yang bukan rahsia dikekalkan. Ini tidak bermakna pemadaman fizikal backup yang telah dicipta — kitaran hayatnya dikawal oleh dasar pengekalan backup.

Dalam laluan panel, partner_id diterbitkan daripada sesi bertandatangan; dalam Partner API — daripada kunci API yang disahkan atau sambungan OAuth AI. Pengecam pemilik tidak diambil daripada path, parameter query atau body permintaan. Kunci API turut dihadkan oleh scope, tempoh sah dan pelan; bagi AI yang disambungkan, set kebenaran dikira daripada tahap yang dipilih oleh pemilik pada setiap permintaan.

Sebelum memulangkan atau mengubah apa-apa, sistem memeriksa semula bahawa server, kluster, inbound, laluan, pengguna VPN atau pembayaran itu milik akaun ini. Pertanyaan pangkalan data dihadkan oleh partner_id, dan kunci unik serta kunci asing komposit menolak pautan silang-rakan kongsi yang tidak sah. Matriks kebenaran dalam ujian memerlukan senario IDOR yang eksplisit bagi setiap endpoint yang mempunyai pengecam sumber.

Kaveat jujur: ini disahkan oleh audit kod di sepanjang laluan permintaan, bukan oleh ujian penembusan awam — jadi SR-16, seperti yang lain, terbuka untuk disangkal dalam bug bounty.

Untuk mengkonfigurasi semuanya secara automatik (memasang Xray+Reality, menerapkan konfigurasi, membaca metrik), panel memegang akses pentadbiran penuh pada server (setara root, melalui pengguna perkhidmatan dengan sudo tanpa kata laluan). Ini perlu untuk pengurusan, dan kami TIDAK menyebutnya 'terhad'.

Apa yang mengurangkan risiko: rahsia dihantar ke server hanya melalui stdin proses (bukan sebagai argumen perintah — ia tidak kelihatan dalam senarai proses); selepas pemasangan awal, setiap sambungan pengurusan mengesahkan host key server yang telah disemat (pinned) — pertukaran server 'di tengah' ditolak. Apa yang anda kawal: akses bergantung pada kunci yang boleh anda batalkan pada bila-bila masa — dengan memadam server (kunci disifarkan) atau sekadar memadam VPS di penyedia anda (kemudian semuanya lenyap).

Akaun VPN itu sendiri (VLESS/Reality) dicipta dan berada dalam Marzban pada server master anda. Secara berpusat, kami hanya menyimpan apa yang diperlukan untuk mengeluarkan pautan langganan: token langganan rawak dan snapshot tersulit bagi kredensial proxy (sebuah cache; sumber kebenarannya ialah Marzban anda). Kami tiada sejarah trafik, IP, atau lawatan pengguna.

Alamat e-mel pengguna akhir tidak kami simpan: nama akaunnya diterbitkan secara tak boleh balik dan tidak mengandungi alamat. E-mel dengan kod log masuk dihantar oleh kami, jadi alamat itu melalui baris gilir penghantaran kami dan dibuang daripadanya sebaik sahaja dihantar — untuk mengenali pengguna yang kembali hanya tinggal cap jari tak boleh balik, dan alamat tidak boleh dipulihkan daripadanya. Satu-satunya keadaan yang alamatnya tetap kekal kami sebut secara terus: semasa pembayaran ia tiba dalam webhook pembayaran dan masuk ke log pembayaran dengan tempoh simpanan terhad.

Data perkhidmatan ini kami simpan hanya selama yang diperlukan dan kami bersihkan secara automatik: email dikeluarkan daripada baris gilir penghantaran sebaik sahaja dihantar, kandungan peristiwa pembayaran selepas diproses, dan peristiwa yang menunggu percubaan semula dalam tempoh 90 hari. Anda boleh memadam sendiri akaun anda berserta semua datanya di bahagian “Tetapan lanjutan”, dengan mengesahkannya menggunakan kod daripada e-mel anda (lihat risiko 7 untuk butiran). Kami mendedahkan perkara ini secara terbuka dan bukannya menyembunyikannya di sebalik kata-kata yang kabur.

Platform CreateYourVPN tidak menerima atau menyimpan maklumat tentang laman mana yang anda atau pengguna anda lawati. Skema pengambilan metrik bersifat tertutup: secara fizikal ia tiada medan untuk IP, domain, atau lawatan — hanya agregat (kiraan unik dalam talian, jumlah bait, CPU/RAM/beban). Setiap nod mengesahkan dengan token HMAC yang terikat pada id-nya sendiri dan hanya boleh menulis metrik untuk dirinya sendiri. Pengimbang pada nod (HAProxy) berfungsi sebagai penghala TCP mengikut SNI dan tidak menyahsulit trafik. Pada server itu sendiri, jurnal sistem (journald) disimpan tidak lebih daripada kira-kira sejam dan tidak dimajukan ke syslog.

Melampaui peringkat platform, server juga tidak menyimpan jurnal lawatan: pengelogan akses Xray dipaksa dimatikan pada setiap tolakan konfigurasi (platform menetapkan log.access kepada none), jadi proksi tepi tidak merekod alamat yang disambungkan oleh pengguna. Ini dikuatkuasakan dalam kod dan disebarkan ke seluruh armada.

Untuk memahami cara laman dan panel digunakan, kami menggunakan Google Analytics (sepanduk kuki memberi amaran tentang pengumpulan kuki dan statistik; butirannya ada dalam Dasar Privasi). Pada halaman persetujuan OAuth, analitik secara paksa tidak dimuatkan: URL mengandungi pengecam jangka pendek bagi permintaan sambungan AI, yang tidak boleh dihantar kepada pihak ketiga. Tiada penjejak pihak ketiga lain: tiada Sentry, PostHog, Mixpanel, atau piksel iklan. Backend tiada telemetri pihak ketiga, dan gerai pengguna akhir tidak diliputi analitik.

Kaveat: GA menerima IP anda (di pihak Google) dan alamat halaman panel yang dilihat; URL panel hanya mengandungi pengecam kluster, bukan e-mel.

Pembayaran dan semua data kad dikendalikan di pihak penyedia yang disambungkan (lava.top). Kami hanya menerima peristiwa webhook yang telah disahkan: kesahihannya ditentukan melalui kaedah yang disokong oleh penyedia berkenaan, sebelum baki atau akses diubah. Kami tidak menerima nombor kad penuh (PAN) atau CVV. Penghantaran semula peristiwa yang sama tidak menyebabkan pemberian berganda: peristiwa dinyahduplikat.

Kaveat: penyedia mungkin menyertakan metadata kad (jenama dan 4 digit terakhir) serta nama dan e-mel pembayar dalam body webhook. Body asal diperlukan oleh worker sehingga pemprosesan selesai; selepas berjaya diproses, ia dipadam bersama petunjuk e-mel. Peristiwa yang menunggu percubaan semula atau semakan manual menyimpan body asal hanya sehingga akhir tempoh pengekalan (90 hari tanpa aktiviti), selepas itu metadata kad dan e-mel pembayar dipadam secara automatik. 'Tiada nombor kad penuh' itu benar, tetapi itu sifat para penyedia (kami sendiri tidak menapis body); 'kami tidak melihat apa-apa tentang kad langsung' tidak.

Untuk akaun, kami menyimpan e-mel, masa log masuk terakhir, mod antara muka dan tetapan; untuk pengebilan — baki dan Telegram, jika dinyatakan untuk tambah nilai. Untuk melindungi akaun, sesi aktif mengandungi masa ia dicipta dan aktiviti terakhir, alamat IP dan user-agent. Sejarah cubaan log masuk yang berjaya dan gagal, dengan ciri teknikal yang sama, disimpan selama 90 hari.

Tiada sejarah klik umum dalam panel. Secara berasingan wujud log dengan tujuan khusus: permintaan Partner API — tidak lebih daripada 500 rekod terakhir dan kira-kira 25 jam; peristiwa infrastruktur dan hasil diagnostik — tidak lebih daripada 7 hari; tindakan AI yang disambungkan — disimpan bersama akaun. Sebelum tindakan AI direkodkan, kata laluan, token, kunci dan pautan langganan dibuang, dan e-mel pengguna disamarkan.

Firewall menolak sambungan masuk secara lalai. Yang terbuka ke luar: 443 (VPN, Xray+Reality), SSH pada port bukan standard (12011 secara lalai), dan — pada server master — port panel admin Marzban, hanya untuk IP control-plane. Port 80 dibuka secara berasingan hanya dalam mod Let's Encrypt untuk HTTP-01. Port 22 ditutup selepas SSH dipindahkan.

Port pengurusan nod hanya terbuka kepada IP server master, bukan ke luar (kegagalan pengikatan ini membatalkan pemasangan). Jika firewall tidak menjadi aktif, pemasangan gagal. ICMP echo dihadkan hanya untuk IPv4; kami tidak menjanjikan server 'tidak kelihatan', dan ICMP IPv6 dikekalkan supaya IPv6 berfungsi dengan betul.

Unattended upgrades memasang kemas kini pakej keselamatan secara automatik. Kaveat: but semula automatik sengaja dinyahdayakan (supaya kernel yang belum disahkan tidak but semula dengan sendirinya) — yang bermaksud pembetulan yang memerlukan but semula (kernel, kadangkala OpenSSH) hanya digunakan selepas but semula manual atau berjadual. 'Penampalan automatik' benar untuk userland, bukan untuk yang memerlukan but semula.

Kami TIDAK mendakwa server 'tidak kelihatan' atau 'tidak boleh diimbas'. Port 443 terbuka dan menjawab sambungan TCP seperti mana-mana server web. Sifat 'pada sambungan yang salah ia kelihatan seperti sebuah laman web biasa yang tidak berkaitan' disediakan oleh protokol Reality di dalam Xray — komponen berasingan yang tidak kami jadikan pernyataan mutlak.

Log masuk rakan kongsi menggunakan kod 6 digit sekali guna yang dihantar ke e-mel. Tiada kata laluan akaun. Ini tidak terpakai untuk kredensial dalaman komponen yang diurus, seperti kata laluan admin server yang dijana. Kod dijana oleh penjana kriptografi; hanya cincangan HMAC-nya disimpan, dan perbandingan dilakukan dalam masa malar. Apabila berjaya, kod terus dipadam, dan selepas 5 percubaan salah, ia dipadamkan lebih awal. Had kadar pengeluaran dikira mengikut alamat penuh dan juga mengikut peti mel fizikal: menukar IP, titik dalam Gmail dan tag plus tidak memberikan had yang berasingan.

Token sesi berada dalam kuki HttpOnly dan Secure (JS tidak boleh membacanya), disahkan pada backend (bukan hanya pada edge). Tamat masa melahu dan log keluar automatik semasa tidak aktif dilaksanakan pada klien, bukan pada server. Token ditandatangani dengan HS256; semasa pengesahan, kami menolak keras sebarang algoritma lain (termasuk 'none') — serangan pertukaran algoritma klasik tidak lepas. Token gerai dan token panel rakan kongsi dipisahkan mengikut audience: token pengguna akhir secara teknikal tidak boleh mencapai API rakan kongsi (dan sebaliknya). Rakan kongsi yang telah dipadam ditolak walaupun dengan token yang masih hidup.

Setiap sesi rakan kongsi mempunyai pengecam yang stabil pada pelayan, yang kekal apabila token diperbaharui. Log keluar biasa membatalkan keseluruhan sesi semasa, bukan hanya satu token yang dikeluarkan. Bahagian “Sesi akaun” memaparkan peranti, alamat IP, masa log masuk dan aktiviti terakhir; mana-mana sesi boleh ditamatkan secara berasingan. Tindakan “Log keluar di mana-mana” menamatkan semua sesi dan memutuskan sambungan AI yang tersambung.

Sejarah log masuk disimpan selama 90 hari dan menunjukkan log masuk yang berjaya, kod yang salah dan tamat tempoh, serta cubaan yang melebihi had. Jika terdapat tanda token yang sudah ditukar digunakan semula, sistem menganggap sesi itu telah disalin, menamatkan semua sesi dan sambungan AI, dan menghantar pemberitahuan kepada pemilik.

Tiada token sesi dalam storan setempat pelayar, hanya tetapan antara muka. Token diletakkan dalam kuki HttpOnly oleh lapisan server Next.js; pelayar tidak menerima alamat dalaman backend dan mencapainya melalui Server Actions. CORS tidak membenarkan origin lain membaca respons API yang mengandungi data yang dibenarkan.

Terdapat pengecualian yang disengajakan dan dikawal oleh pemilik sendiri: eksport kunci SSH peribadi selepas kod daripada e-mel (SR-4) dan kunci Partner API baharu, yang rahsia penuhnya dipaparkan dalam pelayar sekali semasa dicipta. Selepas itu ia tidak boleh dipulihkan daripada pangkalan data — hanya cincangan yang kekal di sana. Domain API awam boleh dicapai dari internet mengikut tujuannya, tetapi tanpa sesi yang sah, kunci API atau token OAuth, ia tidak memulangkan data yang dilindungi.

Hos awam CreateYourVPN disajikan melalui HTTPS dengan HSTS (max-age dua tahun, includeSubDomains). Setiap frontend web yang kami hoskan — laman platform, panel rakan kongsi dan kedai rakan kongsi, sama ada pada subdomain kami atau pada domain milik rakan kongsi — serta domain API menghantar set pengepala keselamatan yang sama: Content-Security-Policy (default-src 'none' pada API; pada frontend ia melarang pembenaman dalam iframe dan mengunci base-uri serta form-action), X-Content-Type-Options: nosniff, X-Frame-Options dan Referrer-Policy yang ketat (no-referrer pada API; strict-origin-when-cross-origin pada frontend, yang turut menghantar Permissions-Policy restriktif).

Ini berjalan dalam produksi pada semua hos tersebut dan boleh disemak secara bebas — dengan mana-mana pemeriksa pengepala HTTP atau perkhidmatan seperti SSL Labs.

Aplikasi AI disambungkan melalui OAuth dan tidak menerima kuki panel anda. Pada halaman persetujuan, anda memilih salah satu daripada tiga tahap: lihat sahaja; lihat dan konfigurasi; padam dan beri akses. Kebenaran disemak oleh server pada setiap panggilan. Pemadaman kritikal memerlukan kod sekali guna tambahan daripada e-mel, dan keseluruhan sambungan boleh dibatalkan dalam bahagian “AI tersambung”.

Setiap panggilan alat direkodkan dalam log yang boleh dilihat oleh pemilik, bersama hasil dan salinan argumen yang selamat. Kata laluan, token, kunci API, kunci peribadi dan pautan langganan dibuang sebelum direkodkan; e-mel pengguna disamarkan. Namun, aplikasi AI yang dipilih kekal sebagai perkhidmatan pihak ketiga: data yang anda sengaja amanahkan kepadanya untuk dibaca atau diubah turut diproses mengikut peraturan pembekalnya.