Doğrulanabilir iddialar.

Parola yalnızca ilk SSH bağlantısını açmak ve bir hizmet kullanıcısı kurmak için gereklidir. Bağlantımız için SSH kimlik doğrulaması olarak iletilir — bir betik argümanı veya ortam değişkeni olarak değil. Veritabanımızda bunun için bir alan yoktur; betik çalıştırma ortamlarına girmez ve günlüklere yazılmaz (bağlantı hataları yalnızca adres ve bağlantı noktasını içerir, asla parolayı değil). Bellekte, kullanımdan sonra (elden geldiğince) silinir — bu, bir garanti değil, katmanlı savunmadır: Go, değerin kopyalarını çöp toplamaya (garbage collection) kadar yığında (heap) tutabilir.

Dürüst çekince: bu, sunucunuzdaki root parolası olarak kalır. Kurulumdan sonra SSH üzerinden parola ve root girişini devre dışı bırakırız, ancak parolanın kendisini değiştirmeyiz — isterseniz kendiniz değiştirin. 'Saklamıyoruz' doğrudur; 'artık bir sır olmaktan çıktı' ise değil.

PasswordAuthentication no, PermitRootLogin no, SSH standart olmayan bir bağlantı noktasına taşınır (varsayılan 12011), fail2ban etkinleştirilir (5 başarısız denemeden sonra bir saatlik yasak), yalnızca anahtarla giriş. Genel anahtar kullanımdan önce sıkı biçimde doğrulanır: satır sonları (authorized_keys içine fazladan anahtar sızdırılmasına karşı koruma) ve sözdizimsel olarak geçersiz anahtarlar reddedilir.

Kilitlenmeye karşı koruma: yeni SSH bağlantı noktasının gerçekten dinlediğini çekirdek (ss aracılığıyla) doğrulayana kadar 22 bağlantı noktası kapatılmaz; yapılandırma sshd -t ile, sudo kuralı visudo -cf ile denetlenir; hata durumunda her ikisi de geri alınır.

Panel, parolanızla değil, kendi ürettiği ayrı bir anahtarla (ed25519) çalışır. Özel kısım, veritabanında AES-256-GCM ile şifrelenmiş olarak durur. Şifreleme anahtarı (KEK) veritabanından ayrı olarak — bir sunucu ortam değişkeninde — saklanır ve üretim ortamında zorunludur (güvensiz bir varsayılan yoktur: KEK olmadan kripto alt sistemi başlamaz). Aynı şifreleme veritabanındaki ağır sırları da korur — Marzban yönetici parolası/token'ı/JWT'si, Reality anahtarları, ödeme sağlayıcı anahtarları, proxy kimlik bilgisi önbelleği, yedekleme yapılandırması.

Şifreleme veriyi yalnızca gizlemez, aynı zamanda kimliğini doğrular (GCM kimlik doğrulama etiketi): şifreli bir alanla oynanması, şifre çözme sırasında tespit edilir ve reddedilir. Her alan yeni, rastgele bir nonce ile şifrelenir; KEK değeri hiçbir zaman günlüklere ulaşmaz — yalnızca kısa kimliği ulaşır.

Yetki token'ları hakkında: /sub abonelik token'ı bir hamiline (bearer) sırdır. Arama için yalnızca SHA-256'sını saklarız; daha önce verilmiş bir bağlantıyı yeniden göstermek için gereken kopya ise AES-GCM şifreli metin olarak tutulur. Eski düz metin kayıtları, HTTP sunucusu başlamadan önce, hata durumunda kapalı (fail-closed) kalacak şekilde yeni biçime taşınır. Ödeme webhook'unun URL tanımlayıcısı açık biçimde saklanır ancak tek başına bir olayı doğrulamaz: gerçeklik ayrıca bir HMAC imzasıyla doğrulanır.

Anahtar yalnızca sunucuda, bellekte çözülür; sıradan API'ler onu asla döndürmez. Elde etmenin tek yolu, oturum açma ile birlikte tek kullanımlık bir e-posta koduyla korunan kasıtlı bir dışa aktarma işlevidir ('anahtarını al') (kod yalnızca HMAC karması olarak saklanır, sabit zamanda karşılaştırılır, 10 dakikalık TTL, 5 deneme). Yani anahtar kasıtlı olarak alınabilir, ancak normal bir istek üzerinden 'sızdırılamaz'.

Sunucunun durumu değişmeden ve herhangi bir arka plan ağ işlemi başlamadan önce, yönetim anahtarını tutan alanlar eşzamanlı olarak sıfırlanır. Veritabanı temizlemeyi onaylamazsa, işlem bir hata döndürür ve yeniden denenebilir. Silme işlemi 'yumuşak' (soft) kalır: satır ve sır olmayan hizmet verileri korunur. Bu, önceden oluşturulmuş yedeklerin fiziksel olarak silinmesi anlamına gelmez — bunların yaşam döngüsü yedekleme saklama politikasıyla yönetilir.

Denetlenen iş ortağı yolları, sunucunun imzalı oturum açma token'ından türettiği partner_id ile yetkilendirir — istemcinin yolda (path) veya gövdede (body) gönderdiğiyle değil. Herhangi bir şey döndürülmeden veya değiştirilmeden önce sistem, istenen sunucunun, kümenin, inbound'un, rotanın, VPN kullanıcısının veya ödemenin hesabınıza ait olduğunu yeniden denetler; ilgili veritabanı sorguları partner_id'nizle sınırlandırılır ve şema (bileşik benzersiz anahtarlar ile bileşik yabancı anahtarlar) geçersiz çapraz-ortak bağlantılarını reddeder. Yalıtım katmanlıdır: uygulama, kullanım senaryosu yeniden denetimi, bir partner_id filtresi ve şema.

Dürüst çekince: bu, herkese açık bir sızma testiyle değil, istek yolu boyunca yapılan bir kod denetimiyle doğrulanmıştır — bu yüzden SR-16 da diğerleri gibi hata ödül programında çürütülmeye açıktır.

Her şeyi otomatik olarak yapılandırmak için (Xray+Reality kurmak, yapılandırma uygulamak, metrikleri okumak) panel, sunucuda tam yönetici erişimine sahiptir (root'a eşdeğer; parolasız sudo'ya sahip bir hizmet kullanıcısı aracılığıyla). Bu, yönetim için gereklidir ve biz buna 'sınırlı' DEMİYORUZ.

Riski azaltan şey: sırlar sunucuya yalnızca sürecin stdin'i aracılığıyla iletilir (komut argümanı olarak değil — süreç listesinde görünmezler); ilk kurulumdan sonra her yönetim bağlantısı, sunucunun sabitlenmiş (pinned) ana bilgisayar anahtarını doğrular — 'ortadaki' bir sunucu değişimi reddedilir. Sizin kontrolünüzde olan: erişim, istediğiniz zaman iptal edebileceğiniz bir anahtara dayanır — sunucuyu silerek (anahtar sıfırlanır) veya sağlayıcınızdaki VPS'i basitçe silerek (o zaman her şey kaybolur).

VPN hesaplarının kendisi (VLESS/Reality) ana (master) sunucunuzdaki Marzban içinde oluşturulur ve orada bulunur. Merkezî olarak yalnızca bir abonelik bağlantısı vermek için gerekli olanı saklarız: rastgele bir abonelik token'ı ve proxy kimlik bilgilerinin şifreli bir anlık görüntüsü (bir önbellek; gerçeğin kaynağı sizin Marzban'ınızdır). Trafik, IP veya kullanıcı ziyaret geçmişimiz yoktur.

Son kullanıcının e-postasının merkezî veritabanımızdan gerçekten geçtiği yerlerin dürüst bir listesi şöyle: oturum açma kodunu içeren e-postayı biz gönderiyoruz, dolayısıyla adres gönderim kuyruğumuzdan geçer (ücretsiz olan da dâhil, mağazaya yapılan her oturum açma için); ödeme sırasında alıcının e-postası ödeme webhook'una gelir ve ödeme günlüğüne girer; Telegram bağlanırken e-posta profile kaydedilir. Tek temas noktaları bunlardır — işlevsel ve zorunluluktan; hiçbiri trafiği ya da kullanıcı davranışını ilgilendirmez.

Bu hizmet verilerini yalnızca gerektiği kadar saklar ve otomatik olarak temizleriz: e-posta gönderimin hemen ardından gönderim kuyruğundan kaldırılır, bir ödeme olayının içeriği işlendikten sonra, yeniden denemeyi bekleyen olaylar ise 90 günlük bir pencere içinde. Destek ile iletişime geçerek hesabınızı ilişkili verileriyle birlikte silebilirsiniz (ayrıntılar için bkz. risk 7). Bunu muğlak ifadelerin arkasına gizlemek yerine açıkça beyan ediyoruz.

CreateYourVPN platformu, sizin ya da kullanıcılarınızın hangi siteleri ziyaret ettiğine dair bilgi almaz veya saklamaz. Metrik alım şeması kapalıdır: IP'ler, alan adları veya ziyaretler için fiziksel olarak alanı yoktur — yalnızca toplamlar (benzersiz çevrimiçi sayısı, toplam bayt, CPU/RAM/yük). Her düğüm (node) kendi kimliğine bağlı bir HMAC token'ıyla kimlik doğrular ve yalnızca kendisi için metrik yazabilir. Düğüm üzerindeki dengeleyici (HAProxy) SNI'ye göre bir TCP yönlendiricisi olarak çalışır ve trafiğin şifresini çözmez. Sunucunun kendisinde sistem günlükleri (journald) yaklaşık bir saatten fazla tutulmaz ve syslog'a iletilmez.

Platform düzeyinin ötesinde, sunucular da bir ziyaret günlüğü tutmaz: Xray erişim günlüklemesi her yapılandırma gönderiminde zorla devre dışı bırakılır (platform log.access değerini none olarak ayarlar), böylece kenar proxy'si kullanıcıların hangi adreslere bağlandığını kaydetmez. Bu, kodda zorunlu kılınır ve tüm filoya dağıtılır.

Sitenin ve panelin nasıl kullanıldığını anlamak için Google Analytics uyguluyoruz (çerez banner'ı, çerez ve istatistik toplama konusunda uyarır; ayrıntılar Gizlilik Politikası'ndadır). Başka üçüncü taraf izleyici yoktur: Sentry, PostHog, Mixpanel veya reklam pikselleri yoktur (her iki ön yüz de aranarak doğrulanmıştır). Arka uçta hiçbir üçüncü taraf telemetrisi yoktur. Son kullanıcı vitrini analitik kapsamında hiç değildir — GA yok, izleyici yok (kaynaklarından doğrulanabilir).

Çekince: GA, IP'nizi (Google tarafında) ve görüntülenen panel sayfalarının adreslerini alır; panel URL'leri yalnızca bir küme tanımlayıcısı içerir, e-posta değil.

Ödeme ve tüm kart verileri sağlayıcının tarafında (Tribute / Lemon Squeezy) işlenir. Biz yalnızca imzalı bir webhook alırız (HMAC-SHA256, sabit zamanlı karşılaştırma; gövde ayrıştırılmadan ve herhangi bir veritabanı yazımından önce doğrulanır: sırrı bilmeden bir olay doğrulamayı geçemez). Tam kart numarasını (PAN) veya CVV'yi almayız. Aynı webhook'un yeniden teslimi (sağlayıcı yeniden denemeleri) çift tahsis (grant) oluşturmaz — olaylar yinelenmez (deduplike edilir).

Çekince: sağlayıcı, webhook gövdesine kart meta verilerini (marka ve son 4 hane) ve ödeyenin adını ve e-postasını dahil edebilir. Orijinal gövdeye, işleme tamamlanana kadar işçi (worker) tarafından ihtiyaç duyulur; başarılı işlemeden sonra e-posta ipucuyla birlikte silinir. Yeniden denemeyi veya manuel incelemeyi bekleyen olaylar orijinal gövdeyi yalnızca saklama penceresinin sonuna kadar (90 gün etkinlik olmadan) tutar; ardından kart meta verileri ve ödeyenin e-postası otomatik olarak silinir. 'Tam kart numarası yok' doğrudur, ancak bu sağlayıcıların bir özelliğidir (gövdeyi kendimiz filtrelemiyoruz); 'kartla ilgili hiçbir şey görmüyoruz' ise değil.

E-posta (oturum açmak için gerekli), son oturum açma zamanı, arayüz modu; faturalandırma için — bakiye ve Telegram (yükleme için). İş ortağının IP'si veritabanında saklanmaz ve panelde hiçbir tıklama veya işlem geçmişi tutmayız (hatalarda kısa bir erişim günlüğü dışında).

Güvenlik duvarı gelen bağlantıları varsayılan olarak reddeder. Dışarıya açık olanlar: 443 (VPN, Xray+Reality), standart olmayan bir bağlantı noktasında SSH (varsayılan 12011) ve — ana sunucuda — yalnızca kontrol düzlemi IP'leri için Marzban yönetici paneli bağlantı noktası. 80 bağlantı noktası yalnızca Let's Encrypt modunda HTTP-01 için ayrıca açılır. 22 bağlantı noktası, SSH taşındıktan sonra kapatılır.

Düğümün yönetim bağlantı noktaları yalnızca ana sunucunun IP'sine açıktır, dışarıya değil (bu bağlamanın başarısız olması kurulumu iptal eder). Güvenlik duvarı etkinleşmezse kurulum başarısız olur. ICMP echo yalnızca IPv4 için sınırlandırılır; sunucunun 'görünmez' olduğunu vaat etmiyoruz ve IPv6'nın doğru çalışması için IPv6 ICMP korunur.

Unattended upgrades, güvenlik paketi güncellemelerini otomatik olarak kurar. Çekince: otomatik yeniden başlatma bilerek devre dışı bırakılmıştır (böylece doğrulanmamış bir çekirdek kendi başına yeniden başlatılmaz) — bu, yeniden başlatma gerektiren düzeltmelerin (çekirdek, bazen OpenSSH) yalnızca manuel veya zamanlanmış bir yeniden başlatmadan sonra uygulandığı anlamına gelir. 'Otomatik yama' kullanıcı alanı (userland) için doğrudur, yeniden başlatma gerektirenler için değil.

Sunucunun 'görünmez' olduğunu veya 'taranamayacağını' İDDİA ETMİYORUZ. 443 bağlantı noktası açıktır ve herhangi bir web sunucusu gibi bir TCP bağlantısına yanıt verir. 'Yanlış bir bağlantıda sıradan, alakasız bir web sitesi gibi görünür' özelliği, Xray içindeki Reality protokolü tarafından sağlanır — mutlak bir ifadeye dönüştürmediğimiz ayrı bir bileşen.

İş ortağı oturum açması, e-postaya gönderilen tek kullanımlık 6 haneli bir kodla yapılır. Hesap parolası yoktur. Bu, yönetilen bileşenlerin dahili kimlik bilgileri için — örneğin üretilen Marzban yönetici parolası — geçerli değildir. Kodlar bir kriptografik üretici tarafından üretilir; yalnızca HMAC karmaları saklanır ve karşılaştırma sabit zamanlıdır. Kod tek kullanımlıktır: başarıda hemen silinir (tekrar oynatma yok); 5 yanlış denemeden sonra erkenden söndürülür. Verme hız sınırı IP başına değil, e-posta başına sayılır — adres değiştirerek aşılamaz.

Oturum token'ı, HttpOnly ve Secure bir çerezde durur (JS onu okuyamaz) ve arka uçta doğrulanır (yalnızca uç noktada değil). Boşta kalma zaman aşımı ve etkinsizlikte otomatik çıkış, sunucuda değil, istemcide uygulanır. Token HS256 ile imzalanır; doğrulamada başka herhangi bir algoritmayı ('none' dahil) kesinlikle reddederiz — klasik algoritma değiştirme saldırısı geçmez. Vitrin token'ı ile iş ortağı paneli token'ı hedef kitleye (audience) göre ayrılmıştır: bir son kullanıcı token'ı teknik olarak iş ortağı API'sine ulaşamaz (ve tersi). Silinmiş bir iş ortağı, canlı bir token'la bile reddedilir.

Çekince: iptal, token'ın kendisini geçersiz kılarak değil, her istekte iş ortağının var olduğunu denetleyerek uygulanır; oturumu kapatma çerezi siler, ancak verilmiş bir token, süresi dolana kadar (bir saate kadar) kriptografik olarak geçerli kalır. Henüz merkezî bir iptal listesi yoktur (bilinçli bir MVP sadeleştirmesi).

Tarayıcının yerel deposunda (local storage) hiç token yoktur (yalnızca arayüz ayarları); hiçbir sır veya API adresi istemci paketine (bundle) girmez. Token'ı HttpOnly bir çereze yalnızca sunucu (Next.js) koyar. Tarayıcı çekirdekle yalnızca sunucu (Server Actions) aracılığıyla konuşur: ön yüz API'yi doğrudan tarayıcıdan çağırmaz ve CORS, tarayıcının diğer kaynaklardan gelen API yanıtlarını okumasına izin vermez.

Eski bir mutlak ifade yerine açıklama: API alan adının kendisi herkese açık bir ana bilgisayardır — teknik olarak bir tarayıcıdan açabilirsiniz, ancak oturum olmadan yetkili hiçbir veri döndürmez.

CreateYourVPN'in herkese açık alan adları, HSTS (max-age iki yıl, includeSubDomains) ile HTTPS üzerinden sunulur. Hem web ön yüzü hem de API alan adı katı bir güvenlik başlıkları kümesi gönderir: kısıtlayıcı bir Content-Security-Policy, X-Content-Type-Options: nosniff, X-Frame-Options ve sıkılaştırılmış bir Referrer-Policy (API'de no-referrer; ön yüzde strict-origin-when-cross-origin ve ön yüz ayrıca kısıtlayıcı bir Permissions-Policy gönderir).

Bu, her iki alan adında da üretimde çalışır ve bağımsız olarak denetlenebilir — herhangi bir HTTP başlık denetleyicisiyle ya da SSL Labs gibi bir hizmetle.