Overiteľné tvrdenia.

Heslo je potrebné len na otvorenie prvého SSH pripojenia a inštaláciu servisného používateľa. Odovzdáva sa ako SSH autentifikácia nášho pripojenia — nie ako argument skriptu či premenná prostredia. Naša databáza preň nemá žiadne pole; nedostáva sa do prostredí, v ktorých bežia skripty, a nezapisuje sa do logov (chyby pripojenia obsahujú len adresu a port, nikdy nie heslo). V pamäti sa po použití vymaže (best-effort) — to je obrana do hĺbky, nie záruka: Go môže ponechať kópie hodnoty na halde až do garbage collection.

Čestná výhrada: zostáva to root heslom na vašom serveri. Po inštalácii zakážeme prihlásenie heslom aj prihlásenie ako root cez SSH, no samotné heslo nemeníme — zmeňte si ho sami, ak chcete. „Neukladáme ho“ je pravda; „prestalo byť tajomstvom“ nie.

PasswordAuthentication no, PermitRootLogin no, SSH presunuté na neštandardný port (predvolene 12011), zapnutý fail2ban (hodinový zákaz po 5 neúspešných pokusoch), prihlásenie len kľúčom. Verejný kľúč sa pred použitím prísne overuje: znaky nového riadku (ochrana proti prepašovaniu ďalších kľúčov do authorized_keys) aj syntakticky neplatné kľúče sú odmietnuté.

Ochrana proti uzamknutiu: port 22 sa nezatvorí, kým jadro (cez ss) nepotvrdí, že nový SSH port skutočne počúva; konfigurácia sa kontroluje príkazom sshd -t a pravidlo sudo príkazom visudo -cf, oboje sa pri chybe vráti späť.

Panel nepracuje s vaším heslom, ale so samostatným kľúčom (ed25519), ktorý si sám vygeneruje. Súkromná časť leží v databáze zašifrovaná pomocou AES-256-GCM. Šifrovací kľúč (KEK) je uložený oddelene od databázy — v premennej prostredia servera — a v produkcii je povinný (neexistuje nebezpečné predvolené nastavenie: bez KEK sa kryptografický subsystém jednoducho nespustí). Rovnaké šifrovanie chráni ťažké tajomstvá v databáze — administrátorské heslo/token/JWT Marzban, kľúče Reality, kľúče platobného poskytovateľa, cache poverení proxy, konfiguráciu záloh.

Šifrovanie údaje nielen skrýva, ale ich aj autentifikuje (autentifikačná značka GCM): manipulácia so zašifrovaným poľom sa pri dešifrovaní odhalí a odmietne. Každé pole je zašifrované novým náhodným nonce; hodnota KEK sa nikdy nedostane do logov — len jej krátke id.

O tokenoch schopností: predplatiteľský token /sub je bearer tajomstvo. Na vyhľadávanie ukladáme len jeho SHA-256, zatiaľ čo kópia potrebná na opätovné zobrazenie už vydaného odkazu sa uchováva ako šifrovaný text AES-GCM. Staršie záznamy v čitateľnej podobe sa pred spustením HTTP servera migrujú do nového formátu, fail-closed. Identifikátor URL platobného webhooku je uložený v čitateľnej podobe, no sám o sebe udalosť neautentifikuje: pravosť sa overuje samostatne podpisom HMAC.

Tajomstvá kľúčov Partner API sú nevratné: celý kľúč sa zobrazí len raz pri vydaní a v databáze zostáva SHA-256 jeho tajnej časti. Ani access a refresh tokeny pripojenej AI sa neukladajú v čitateľnej podobe; pripojenie je obmedzené zvolenou úrovňou prístupu a vlastník účtu ho môže odvolať.

Kľúč sa dešifruje len na serveri, v pamäti; bežné API ho nikdy nevracajú. Jediný spôsob, ako ho získať, je zámerná exportná funkcia („vezmite si svoj kľúč“), chránená prihlásením a jednorazovým e-mailovým kódom (kód sa ukladá len ako HMAC hash, porovnáva sa v konštantnom čase, TTL 10 minút, 5 pokusov). Kľúč tak možno získať zámerne, no nie „uniknúť“ cez bežnú požiadavku.

Pred zmenou stavu servera a pred akýmikoľvek sieťovými operáciami na pozadí sa polia so správcovským kľúčom synchrónne vynulujú. Ak databáza vymazanie nepotvrdí, operácia vráti chybu a možno ju zopakovať. Odstránenie zostáva „mäkké“: riadok a neutajené servisné údaje sa zachovajú. Neznamená to fyzické vymazanie už vytvorených záloh — ich životný cyklus riadi zásada uchovávania záloh.

V cestách panela sa partner_id odvodzuje z podpísanej relácie, v Partner API z overeného API kľúča alebo z OAuth pripojenia AI. Identifikátor vlastníka sa neberie z cesty, query parametrov ani tela požiadavky. API kľúče sú navyše obmedzené oprávneniami (scope), dobou platnosti a tarifom; pri pripojenej AI sa súbor oprávnení vypočítava pri každej požiadavke z úrovne, ktorú zvolil vlastník.

Pred vrátením alebo zmenou čohokoľvek systém znovu overí, že server, klaster, inbound, trasa, VPN používateľ alebo platba patria tomuto účtu. Databázové dotazy sú obmedzené partner_id a zložené unikátne a cudzie kľúče odmietajú neplatné prepojenia medzi partnermi. Autorizačná matica v testoch vyžaduje výslovný scenár IDOR pre každý endpoint s identifikátorom zdroja.

Čestná výhrada: toto je overené auditom kódu naprieč cestou požiadavky, nie verejným penetračným testom — takže SR-16, ako aj ostatné, je otvorené na vyvrátenie v bug bounty.

Aby mohol všetko nastaviť automaticky (nainštalovať Xray+Reality, aplikovať konfiguráciu, čítať metriky), panel má na serveri plný administrátorský prístup (ekvivalent root, cez servisného používateľa s bezheslovým sudo). To je pre správu nevyhnutné a NEnazývame to „obmedzeným“.

Čo znižuje riziko: tajomstvá sa serveru odovzdávajú len cez stdin procesu (nie ako argumenty príkazu — nie sú viditeľné v zozname procesov); po prvotnej inštalácii každé správcovské pripojenie overuje pripnutý hostiteľský kľúč servera — výmena servera „uprostred“ je odmietnutá. Čo máte pod kontrolou: prístup stojí na kľúči, ktorý môžete kedykoľvek zrušiť — odstránením servera (kľúč sa vynuluje) alebo jednoducho zmazaním VPS u vášho poskytovateľa (potom všetko zmizne).

Samotné VPN účty (VLESS/Reality) sa vytvárajú a žijú v Marzban na vašom master serveri. Centrálne ukladáme len to, čo je potrebné na vydanie predplatiteľského odkazu: náhodný predplatiteľský token a zašifrovaný snímok poverení proxy (cache; zdrojom pravdy je váš Marzban). Nemáme žiadnu históriu prevádzky, IP ani návštev používateľov.

E-mailovú adresu koncového používateľa u nás neuchovávame: názov jeho účtu je odvodený nevratne a adresu neobsahuje. E-mail s prihlasovacím kódom posielame my, takže adresa prejde našim odosielacím radom a hneď po odoslaní sa z neho odstráni — na rozpoznanie vracajúceho sa používateľa zostáva len nevratný odtlačok, z ktorého adresu obnoviť nemožno. Jediný prípad, keď adresa predsa len zostane, pomenúvame priamo: pri platbe príde v platobnom webhooku a dostane sa do denníka platieb s obmedzenou dobou uchovania.

Tieto servisné údaje uchovávame len na potrebný čas a mažeme ich automaticky: e-mail sa z odosielacej fronty odstráni hneď po odoslaní, telo platobnej udalosti po spracovaní a udalosti čakajúce na opakovanie do 90-dňového okna. Svoj účet spolu so všetkými jeho údajmi môžete vymazať sami, v sekcii „Rozšírené nastavenia“, potvrdením kódom z e-mailu (podrobnosti nájdete v riziku 7). Zverejňujeme to otvorene, namiesto toho, aby sme to skrývali za vágne formulácie.

Platforma CreateYourVPN neprijíma ani neukladá informácie o tom, ktoré stránky navštevujete vy alebo vaši používatelia. Schéma príjmu metrík je uzavretá: fyzicky nemá polia pre IP adresy, domény ani návštevy — len agregáty (počet unikátnych online, celkové bajty, CPU/RAM/záťaž). Každý uzol sa autentifikuje HMAC tokenom viazaným na svoje vlastné id a môže zapisovať metriky len za seba. Vyvažovač na uzle (HAProxy) funguje ako TCP smerovač podľa SNI a prevádzku nedešifruje. Na samotnom serveri sa systémové žurnály uchovávajú najviac asi hodinu a neposielajú sa do syslog.

Nad rámec úrovne platformy si ani servery nevedú denník návštev: logovanie prístupov Xray sa pri každom nasadení konfigurácie nasilu vypína (platforma nastavuje log.access na none), takže hraničná proxy nezaznamenáva, na aké adresy sa používatelia pripájajú. Je to vynútené v kóde a rozšírené na celý flot.

Aby sme pochopili, ako sa web a panel používajú, používame Google Analytics (cookie banner upozorňuje na zbieranie cookies a štatistík; podrobnosti sú v Zásadách ochrany osobných údajov). Na stránkach súhlasu OAuth je načítanie analytiky vynútene zakázané: URL obsahuje krátkodobý identifikátor požiadavky na pripojenie AI, ktorý sa nesmie odovzdávať tretej strane. Žiadne iné trackery tretích strán nie sú: žiadny Sentry, PostHog, Mixpanel ani reklamné pixely. Backend nemá telemetriu tretích strán a výklady koncových používateľov nie sú pokryté analytikou.

Výhrada: GA dostáva vašu IP (na strane Google) a adresy zobrazených stránok panela; URL panela obsahujú len identifikátor klastra, nie e-mail.

Platba a všetky údaje o karte sa spracúvajú na strane pripojeného poskytovateľa (lava.top). My dostávame len overenú udalosť webhooku: jej pravosť sa overuje spôsobom, ktorý podporuje konkrétny poskytovateľ, ešte pred zmenou zostatku alebo prístupu. Nedostávame celé číslo karty (PAN) ani CVV. Opätovné doručenie tej istej udalosti nespôsobí dvojité pripísanie: udalosti sú deduplikované.

Výhrada: poskytovateľ môže do tela webhooku zahrnúť metadáta karty (značku a posledné 4 číslice) a meno a e-mail platiteľa. Pôvodné telo potrebuje worker, kým sa spracovanie nedokončí; po úspešnom spracovaní sa vymaže spolu s náznakom e-mailu. Udalosti čakajúce na opakovanie alebo ručnú kontrolu si pôvodné telo ponechávajú len do konca obdobia uchovávania (90 dní bez aktivity), po ktorom sa metadáta karty a e-mail platiteľa automaticky vymažú. „Celé číslo karty tam nie je“ je pravda, no to je vlastnosť poskytovateľov (telo si sami nefiltrujeme); „o karte nevidíme vôbec nič“ nie je.

Pre účet sa uchovávajú e-mail, čas posledného prihlásenia, režim rozhrania a nastavenia; pri fakturácii — zostatok a Telegram, ak je uvedený na dobíjanie. Na ochranu účtu obsahuje aktívna relácia čas vytvorenia a poslednej aktivity, IP adresu a user-agent. História úspešných a neúspešných pokusov o prihlásenie s rovnakými technickými údajmi sa uchováva 90 dní.

Všeobecná história kliknutí v paneli neexistuje. Oddelene existujú účelové denníky: požiadavky na Partner API — najviac 500 posledných záznamov a približne 25 hodín, udalosti infraštruktúry a výsledky diagnostiky — najviac 7 dní, akcie pripojenej AI — spolu s účtom. Pred zápisom akcií AI sa odstraňujú heslá, tokeny, kľúče a odkazy na predplatné a e-maily používateľov sa maskujú.

Firewall predvolene odmieta prichádzajúce spojenia. Otvorené smerom von: 443 (VPN, Xray+Reality), SSH na neštandardnom porte (predvolene 12011) a — na master serveri — port administrátorského panela Marzban, len pre IP riadiacej roviny. Port 80 sa otvára samostatne len v režime Let's Encrypt pre HTTP-01. Port 22 sa po presune SSH zatvorí.

Správcovské porty uzla sú otvorené len pre IP master servera, nie smerom von (zlyhanie tejto väzby preruší inštaláciu). Ak sa firewall neaktivuje, inštalácia zlyhá. ICMP echo je obmedzené len pre IPv4; nesľubujeme, že server je „neviditeľný“, a IPv6 ICMP je zachované, aby IPv6 fungovalo správne.

Bezobslužné aktualizácie inštalujú aktualizácie bezpečnostných balíkov automaticky. Výhrada: automatický reštart je zámerne vypnutý (aby sa neoverené jadro samo nereštartovalo) — čo znamená, že opravy vyžadujúce reštart (jadro, niekedy OpenSSH) sa uplatnia až po ručnom alebo naplánovanom reštarte. „Automatické záplatovanie“ platí pre userland, nie pre to, čo vyžaduje reštart.

NEtvrdíme, že server je „neviditeľný“ alebo „nedá sa naskenovať“. Port 443 je otvorený a odpovedá na TCP spojenie ako každý webový server. Vlastnosť „pri nesprávnom spojení vyzerá ako obyčajný nesúvisiaci web“ zabezpečuje protokol Reality vnútri Xray — samostatný komponent, ktorý nerobíme absolútnym.

Partner sa prihlasuje jednorazovým 6-miestnym kódom zaslaným na e-mail. Účet nemá heslo. Netýka sa to interných poverení spravovaných komponentov, ako je vygenerované administrátorské heslo servera. Kódy generuje kryptografický generátor; ukladá sa len ich HMAC hash a porovnanie prebieha v konštantnom čase. Pri úspechu sa kód okamžite vymaže a po 5 nesprávnych pokusoch sa predčasne zruší. Limit vydávania sa počíta podľa celej adresy aj podľa fyzickej poštovej schránky: zmena IP, bodky v Gmaile ani plus-tagy nedávajú samostatný limit.

Token relácie sedí v cookie HttpOnly a Secure (JS ho nedokáže prečítať), overuje sa na backende (nielen na okraji). Časový limit nečinnosti a automatické odhlásenie pri nečinnosti sú implementované na klientovi, nie na serveri. Token je podpísaný pomocou HS256; pri overovaní prísne odmietame akýkoľvek iný algoritmus (vrátane „none“) — klasický útok výmenou algoritmu neprejde. Token výkladu a token partnerského panela sú oddelené podľa publika: token koncového používateľa sa technicky nedostane do partnerského API (a naopak). Odstránený partner je odmietnutý aj so živým tokenom.

Každá partnerská relácia má stabilný serverový identifikátor, ktorý sa zachováva pri obnove tokenu. Bežné odhlásenie odvolá celú aktuálnu reláciu, nielen jedno vydanie tokenu. V sekcii „Relácie účtu“ sú viditeľné zariadenie, IP adresa, čas prihlásenia a posledná aktivita; ktorúkoľvek reláciu možno ukončiť samostatne. Akcia „Odhlásiť sa všade“ ukončí všetky relácie a odpojí pripojenú AI.

História prihlásení sa uchováva 90 dní a zobrazuje úspešné prihlásenia, nesprávne a expirované kódy, ako aj prekročenie počtu pokusov. Pri známkach opätovného použitia už vymeneného vydania tokenu systém považuje reláciu za skopírovanú, ukončí všetky relácie aj pripojenia AI a pošle vlastníkovi upozornenie.

V lokálnom úložisku prehliadača nie sú žiadne relačné tokeny, len nastavenia rozhrania. Token do cookie HttpOnly umiestňuje serverová vrstva Next.js; prehliadač nedostáva internú adresu backendu a komunikuje s ním cez Server Actions. CORS neumožňuje iným pôvodom čítať odpovede API s autorizovanými údajmi.

Existujú zámerné výnimky, ktoré riadi sám vlastník: export súkromného SSH kľúča po zadaní kódu z e-mailu (SR-4) a nový kľúč Partner API, ktorého celé tajomstvo sa v prehliadači zobrazí raz pri vytvorení. Potom ho z databázy nemožno obnoviť — zostáva tam len hash. Verejná doména API je z internetu dostupná zámerne, no bez platnej relácie, API kľúča alebo OAuth tokenu chránené údaje nevracia.

Verejné hosty CreateYourVPN sa doručujú cez HTTPS s HSTS (max-age dva roky, includeSubDomains). Každý webový frontend, ktorý prevádzkujeme — web platformy, partnerský panel a obchody partnerov, či už na našich subdoménach, alebo na vlastnej doméne partnera — aj doména API posielajú rovnakú sadu bezpečnostných hlavičiek: Content-Security-Policy (default-src 'none' na API; na frontendoch zakazuje vloženie do iframu a fixuje base-uri a form-action), X-Content-Type-Options: nosniff, X-Frame-Options a uzamknutú Referrer-Policy (no-referrer na API; strict-origin-when-cross-origin na frontendoch, ktoré navyše posielajú reštriktívnu Permissions-Policy).

Beží to v produkcii na všetkých týchto hostoch a dá sa to nezávisle overiť — ľubovoľným inšpektorom HTTP hlavičiek alebo službou ako SSL Labs.

AI aplikácia sa pripája cez OAuth a nedostáva cookie vášho panela. Na stránke súhlasu vyberáte jednu z troch úrovní: len prezeranie; prezeranie a konfigurácia; odstraňovanie a udeľovanie prístupu. Oprávnenia overuje server pri každom volaní. Kritické odstránenia vyžadujú navyše jednorazový kód z e-mailu a celé pripojenie možno odvolať v sekcii „Pripojená AI“.

Každé volanie nástroja sa zapíše do denníka viditeľného pre vlastníka spolu s výsledkom a bezpečnou kópiou argumentov. Heslá, tokeny, API kľúče, súkromné kľúče a odkazy na predplatné sa pred zápisom odstránia; e-maily používateľov sa maskujú. Zvolená AI aplikácia však zostáva službou tretej strany: údaje, ktoré ste jej vedome zverili na čítanie alebo zmenu, sa spracúvajú aj podľa pravidiel jej poskytovateľa.