Säkerhetsjournal.

Intern granskning före programmets lansering

Den 15 juli 2026 inledde vi en intern säkerhetsgranskning av CreateYourVPN. De rättningar vi har slutfört och verifierat på nytt publiceras nedan; fler följer i takt med att de driftsätts och bekräftas.

Lade till skydd mot osäker cross-origin-konfiguration

Den nuvarande production-konfigurationen tillät inte godtyckliga origins, men koden tillät en farlig kombination av parametrar om en operatör konfigurerade den fel. Den kombinationen avvisas nu vid start och täcks av ett automatiserat test.

Minskade den publika ytan för production-API:et

Interaktiv teknisk API-dokumentation var åtkomlig utan autentisering. Den gav ingen åtkomst till skyddade data, men gjorde det lättare att studera API:ets interna struktur. I production är dokumentationen nu inaktiverad, samtidigt som den förblir tillgänglig i en isolerad miljö för utveckling.

Plattformens kryptografiska nycklar åtskilda efter syfte

En intern granskning fann att en enda hemlighet användes för två olika kryptografiska uppgifter. Detta skapade ingen direkt kringgång, men vidgade konsekvenserna av en nyckelkompromettering. De två syftena har åtskilts och vart och ett roteras nu oberoende.

Garanterad rensning av hanteringsnyckeln efter borttagning av server

Rensningen av den krypterade hanteringsnyckeln kördes efter nätverksoperationer i bakgrunden och kunde utebli om dessa operationer misslyckades. Vi frikopplade nyckelrensningen från nätverkskaskaden och lade till ett garanterat nytt försök. Scenarierna med onåbar server och avbruten process täcks av tester.

Tog bort en oanvänd auktoriseringsväg i partner-API:et

API:et stödde en extra cookie-baserad auktoriseringsväg som den nuvarande server-side-arkitekturen inte behövde. Ingen cross-site-attack hittades i production, men den extra vägen vidgade ytan för framtida misstag. API:et använder nu en enda, uttryckligen definierad auktoriseringsmetod, täckt av negativa tester.

Åtkomsten till panelen för infrastrukturhantering har begränsats

En extern forskare rapporterade att ett administrationsgränssnitt för infrastrukturen svarade från det publika internet. Gränssnittet var skyddat med inloggning och inga spår av obehörig åtkomst hittades. Rapporten godtogs och åtkomsten begränsades.

Gränssnittet är nu åtkomligt endast från godkända adresser, kraven på autentisering har skärpts och berörda komponenter uppdaterats. Resultatet verifierades utanför vårt nät. Vi gick dessutom igenom vår publika yta och införde en regelbunden kontroll av den. Belöningen betalades ut på högsta nivån.

E-postadresser till butikernas användare sparas inte längre

En person skriver in sin e-postadress för att logga in i en partners butik, men adressen blir inte kvar hos oss: mejlet med koden går iväg och adressen raderas direkt. Kontot känns igen på ett oåterkalleligt avtryck som adressen inte kan återskapas ur, och kontonamnet innehåller den inte heller.

Användaren kan återställa sin prenumerationslänk själv

En prenumerationslänk är en hemlighet: den som har den får samma åtkomst som ägaren. Användaren kan återställa den själv i sitt konto — den tidigare länken slutar fungera och uppgifterna bakom den utfärdas på nytt. En länk som stängts på detta sätt förblir stängd, även när data återställs från en säkerhetskopia.

Säkerhetsheaders på butikssidorna

Partnernas butiker skickade inte de säkerhetsheaders som panelen och API:et redan skickade — däribland den som hindrar andra webbplatser från att visa sidan i en ram. Kontouppgifter eller sessioner gick inte att läsa den vägen. Hela uppsättningen följer nu med varje svar från butikerna, och påståendet SR-15 namnger varje frontend vi driftar.

Sessionshantering och utskick av inloggningskoder

Efter rapporter från en extern forskare har vi gått igenom två angränsande områden: livscykeln för en partnersession och vägen som e-postmeddelandet med inloggningskoden tar. Ingen av iakttagelserna gav åtkomst till konton, partnerdata eller användartrafik.

Ändringarna i utskicket av inloggningskoder är driftsatta och verifierade. En separat åtgärd för att logga ut överallt förbereds; tills den finns avslutar utloggning den aktuella sessionen.