Doğrulanabilir iddialar.

Parola yalnızca ilk SSH bağlantısını açmak ve bir hizmet kullanıcısı kurmak için gereklidir. Bağlantımız için SSH kimlik doğrulaması olarak iletilir — bir betik argümanı veya ortam değişkeni olarak değil. Veritabanımızda bunun için bir alan yoktur; betik çalıştırma ortamlarına girmez ve günlüklere yazılmaz (bağlantı hataları yalnızca adres ve bağlantı noktasını içerir, asla parolayı değil). Bellekte, kullanımdan sonra (elden geldiğince) silinir — bu, bir garanti değil, katmanlı savunmadır: Go, değerin kopyalarını çöp toplamaya (garbage collection) kadar yığında (heap) tutabilir.

Dürüst çekince: bu, sunucunuzdaki root parolası olarak kalır. Kurulumdan sonra SSH üzerinden parola ve root girişini devre dışı bırakırız, ancak parolanın kendisini değiştirmeyiz — isterseniz kendiniz değiştirin. 'Saklamıyoruz' doğrudur; 'artık bir sır olmaktan çıktı' ise değil.

PasswordAuthentication no, PermitRootLogin no, SSH standart olmayan bir bağlantı noktasına taşınır (varsayılan 12011), fail2ban etkinleştirilir (5 başarısız denemeden sonra bir saatlik yasak), yalnızca anahtarla giriş. Genel anahtar kullanımdan önce sıkı biçimde doğrulanır: satır sonları (authorized_keys içine fazladan anahtar sızdırılmasına karşı koruma) ve sözdizimsel olarak geçersiz anahtarlar reddedilir.

Kilitlenmeye karşı koruma: yeni SSH bağlantı noktasının gerçekten dinlediğini çekirdek (ss aracılığıyla) doğrulayana kadar 22 bağlantı noktası kapatılmaz; yapılandırma sshd -t ile, sudo kuralı visudo -cf ile denetlenir; hata durumunda her ikisi de geri alınır.

Panel, parolanızla değil, kendi ürettiği ayrı bir anahtarla (ed25519) çalışır. Özel kısım, veritabanında AES-256-GCM ile şifrelenmiş olarak durur. Şifreleme anahtarı (KEK) veritabanından ayrı olarak — bir sunucu ortam değişkeninde — saklanır ve üretim ortamında zorunludur (güvensiz bir varsayılan yoktur: KEK olmadan kripto alt sistemi başlamaz). Aynı şifreleme veritabanındaki ağır sırları da korur — Marzban yönetici parolası/token'ı/JWT'si, Reality anahtarları, ödeme sağlayıcı anahtarları, proxy kimlik bilgisi önbelleği, yedekleme yapılandırması.

Şifreleme veriyi yalnızca gizlemez, aynı zamanda kimliğini doğrular (GCM kimlik doğrulama etiketi): şifreli bir alanla oynanması, şifre çözme sırasında tespit edilir ve reddedilir. Her alan yeni, rastgele bir nonce ile şifrelenir; KEK değeri hiçbir zaman günlüklere ulaşmaz — yalnızca kısa kimliği ulaşır.

Yetki token'ları hakkında: /sub abonelik token'ı bir hamiline (bearer) sırdır. Arama için yalnızca SHA-256'sını saklarız; daha önce verilmiş bir bağlantıyı yeniden göstermek için gereken kopya ise AES-GCM şifreli metin olarak tutulur. Eski düz metin kayıtları, HTTP sunucusu başlamadan önce, hata durumunda kapalı (fail-closed) kalacak şekilde yeni biçime taşınır. Ödeme webhook'unun URL tanımlayıcısı açık biçimde saklanır ancak tek başına bir olayı doğrulamaz: gerçeklik ayrıca bir HMAC imzasıyla doğrulanır.

Partner API anahtarlarının sırları geri döndürülemez biçimde saklanır: tam anahtar yalnızca bir kez, üretildiği anda gösterilir; veritabanında ise gizli kısmının SHA-256'sı kalır. Bağlı yapay zekâ uygulamalarının access ve refresh token'ları da düz metin olarak saklanmaz; bağlantı seçilen erişim düzeyiyle sınırlıdır ve hesap sahibi tarafından iptal edilebilir.

Anahtar yalnızca sunucuda, bellekte çözülür; sıradan API'ler onu asla döndürmez. Elde etmenin tek yolu, oturum açma ile birlikte tek kullanımlık bir e-posta koduyla korunan kasıtlı bir dışa aktarma işlevidir ('anahtarını al') (kod yalnızca HMAC karması olarak saklanır, sabit zamanda karşılaştırılır, 10 dakikalık TTL, 5 deneme). Yani anahtar kasıtlı olarak alınabilir, ancak normal bir istek üzerinden 'sızdırılamaz'.

Sunucunun durumu değişmeden ve herhangi bir arka plan ağ işlemi başlamadan önce, yönetim anahtarını tutan alanlar eşzamanlı olarak sıfırlanır. Veritabanı temizlemeyi onaylamazsa, işlem bir hata döndürür ve yeniden denenebilir. Silme işlemi 'yumuşak' (soft) kalır: satır ve sır olmayan hizmet verileri korunur. Bu, önceden oluşturulmuş yedeklerin fiziksel olarak silinmesi anlamına gelmez — bunların yaşam döngüsü yedekleme saklama politikasıyla yönetilir.

Panel yollarında partner_id imzalı oturumdan, Partner API'de ise doğrulanmış API anahtarından veya yapay zekâ uygulamasının OAuth bağlantısından türetilir. Sahibin tanımlayıcısı yoldan (path), query parametrelerinden veya istek gövdesinden alınmaz. API anahtarları ayrıca yetki kapsamı (scope), geçerlilik süresi ve planla sınırlıdır; bağlı bir yapay zekâ uygulamasının yetki kümesi her istekte, sahibin seçtiği düzeyden hesaplanır.

Herhangi bir şey döndürülmeden veya değiştirilmeden önce sistem, sunucunun, kümenin, inbound'un, rotanın, VPN kullanıcısının veya ödemenin bu hesaba ait olduğunu yeniden denetler. Veritabanı sorguları partner_id ile sınırlandırılır; bileşik benzersiz ve yabancı anahtarlar da geçersiz çapraz-ortak bağlantılarını reddeder. Testlerdeki yetkilendirme matrisi, kaynak tanımlayıcısı alan her uç nokta için açık bir IDOR senaryosu gerektirir.

Dürüst çekince: bu, herkese açık bir sızma testiyle değil, istek yolu boyunca yapılan bir kod denetimiyle doğrulanmıştır — bu yüzden SR-16 da diğerleri gibi hata ödül programında çürütülmeye açıktır.

Her şeyi otomatik olarak yapılandırmak için (Xray+Reality kurmak, yapılandırma uygulamak, metrikleri okumak) panel, sunucuda tam yönetici erişimine sahiptir (root'a eşdeğer; parolasız sudo'ya sahip bir hizmet kullanıcısı aracılığıyla). Bu, yönetim için gereklidir ve biz buna 'sınırlı' DEMİYORUZ.

Riski azaltan şey: sırlar sunucuya yalnızca sürecin stdin'i aracılığıyla iletilir (komut argümanı olarak değil — süreç listesinde görünmezler); ilk kurulumdan sonra her yönetim bağlantısı, sunucunun sabitlenmiş (pinned) ana bilgisayar anahtarını doğrular — 'ortadaki' bir sunucu değişimi reddedilir. Sizin kontrolünüzde olan: erişim, istediğiniz zaman iptal edebileceğiniz bir anahtara dayanır — sunucuyu silerek (anahtar sıfırlanır) veya sağlayıcınızdaki VPS'i basitçe silerek (o zaman her şey kaybolur).

VPN hesaplarının kendisi (VLESS/Reality) ana (master) sunucunuzdaki Marzban içinde oluşturulur ve orada bulunur. Merkezî olarak yalnızca bir abonelik bağlantısı vermek için gerekli olanı saklarız: rastgele bir abonelik token'ı ve proxy kimlik bilgilerinin şifreli bir anlık görüntüsü (bir önbellek; gerçeğin kaynağı sizin Marzban'ınızdır). Trafik, IP veya kullanıcı ziyaret geçmişimiz yoktur.

Son kullanıcının e-posta adresi bizde saklanmaz: hesap adı geri döndürülemez biçimde türetilir ve adres içermez. Giriş kodunu içeren e-postayı biz gönderiyoruz, bu yüzden adres gönderim kuyruğumuzdan geçer ve gönderimden hemen sonra oradan silinir — geri dönen bir kullanıcıyı tanımak için yalnızca geri döndürülemez bir parmak izi kalır ve adres bundan geri elde edilemez. Adresin yine de kaldığı tek durumu doğrudan söylüyoruz: ödeme sırasında ödeme webhook'una gelir ve sınırlı saklama süresiyle ödeme kaydına girer.

Bu hizmet verilerini yalnızca gerektiği kadar saklar ve otomatik olarak temizleriz: e-posta gönderimin hemen ardından gönderim kuyruğundan kaldırılır, bir ödeme olayının içeriği işlendikten sonra, yeniden denemeyi bekleyen olaylar ise 90 günlük bir pencere içinde. Hesabınızı tüm verileriyle birlikte, e-postanıza gelen bir kodla onaylayarak “Gelişmiş ayarlar” bölümünden kendiniz silebilirsiniz (ayrıntılar için bkz. risk 7). Bunu muğlak ifadelerin arkasına gizlemek yerine açıkça beyan ediyoruz.

CreateYourVPN platformu, sizin ya da kullanıcılarınızın hangi siteleri ziyaret ettiğine dair bilgi almaz veya saklamaz. Metrik alım şeması kapalıdır: IP'ler, alan adları veya ziyaretler için fiziksel olarak alanı yoktur — yalnızca toplamlar (benzersiz çevrimiçi sayısı, toplam bayt, CPU/RAM/yük). Her düğüm (node) kendi kimliğine bağlı bir HMAC token'ıyla kimlik doğrular ve yalnızca kendisi için metrik yazabilir. Düğüm üzerindeki dengeleyici (HAProxy) SNI'ye göre bir TCP yönlendiricisi olarak çalışır ve trafiğin şifresini çözmez. Sunucunun kendisinde sistem günlükleri (journald) yaklaşık bir saatten fazla tutulmaz ve syslog'a iletilmez.

Platform düzeyinin ötesinde, sunucular da bir ziyaret günlüğü tutmaz: Xray erişim günlüklemesi her yapılandırma gönderiminde zorla devre dışı bırakılır (platform log.access değerini none olarak ayarlar), böylece kenar proxy'si kullanıcıların hangi adreslere bağlandığını kaydetmez. Bu, kodda zorunlu kılınır ve tüm filoya dağıtılır.

Sitenin ve panelin nasıl kullanıldığını anlamak için Google Analytics uyguluyoruz (çerez banner'ı, çerez ve istatistik toplama konusunda uyarır; ayrıntılar Gizlilik Politikası'ndadır). OAuth onay sayfalarında analitiğin yüklenmesi zorunlu olarak devre dışı bırakılır: URL, bir yapay zekâ bağlantı isteğinin kısa ömürlü tanımlayıcısını içerir ve bu tanımlayıcı üçüncü taraflara aktarılmamalıdır. Başka üçüncü taraf izleyici yoktur: Sentry, PostHog, Mixpanel veya reklam pikselleri yoktur. Arka uçta üçüncü taraf telemetrisi yoktur; son kullanıcı vitrinleri de analitik kapsamında değildir.

Çekince: GA, IP'nizi (Google tarafında) ve görüntülenen panel sayfalarının adreslerini alır; panel URL'leri yalnızca bir küme tanımlayıcısı içerir, e-posta değil.

Ödeme ve tüm kart verileri bağlı sağlayıcının tarafında (lava.top) işlenir. Bize yalnızca doğrulanmış bir webhook olayı ulaşır: olayın gerçekliği, bakiye veya erişim değiştirilmeden önce ilgili sağlayıcının desteklediği yöntemle tespit edilir. Tam kart numarasını (PAN) veya CVV'yi almayız. Aynı olayın yeniden teslimi çift tahsis (grant) oluşturmaz: olaylar yinelenmez (deduplike edilir).

Çekince: sağlayıcı, webhook gövdesine kart meta verilerini (marka ve son 4 hane) ve ödeyenin adını ve e-postasını dahil edebilir. Orijinal gövdeye, işleme tamamlanana kadar işçi (worker) tarafından ihtiyaç duyulur; başarılı işlemeden sonra e-posta ipucuyla birlikte silinir. Yeniden denemeyi veya manuel incelemeyi bekleyen olaylar orijinal gövdeyi yalnızca saklama penceresinin sonuna kadar (90 gün etkinlik olmadan) tutar; ardından kart meta verileri ve ödeyenin e-postası otomatik olarak silinir. “Tam kart numarası yok” doğrudur, ancak bu sağlayıcıların bir özelliğidir (gövdeyi kendimiz filtrelemiyoruz); “kartla ilgili hiçbir şey görmüyoruz” ise değil.

Hesap için e-posta, son oturum açma zamanı, arayüz modu ve ayarlar; faturalandırma için — bakiye ve, yükleme için belirtilmişse, Telegram saklanır. Hesabı korumak için etkin oturum, oluşturulma ve son etkinlik zamanını, IP adresini ve user-agent bilgisini içerir. Başarılı ve başarısız giriş denemelerinin aynı teknik özellikleri içeren geçmişi 90 gün saklanır.

Panelde genel bir tıklama geçmişi yoktur. Ayrıca amaca özel günlükler vardır: Partner API istekleri — en fazla son 500 kayıt ve yaklaşık 25 saat, altyapı olayları ve tanılama sonuçları — en fazla 7 gün, bağlı yapay zekâ uygulamalarının işlemleri — hesapla birlikte. Yapay zekâ işlemleri kaydedilmeden önce parolalar, token'lar, anahtarlar ve abonelik bağlantıları çıkarılır, kullanıcı e-postaları ise maskelenir.

Güvenlik duvarı gelen bağlantıları varsayılan olarak reddeder. Dışarıya açık olanlar: 443 (VPN, Xray+Reality), standart olmayan bir bağlantı noktasında SSH (varsayılan 12011) ve — ana sunucuda — yalnızca kontrol düzlemi IP'leri için Marzban yönetici paneli bağlantı noktası. 80 bağlantı noktası yalnızca Let's Encrypt modunda HTTP-01 için ayrıca açılır. 22 bağlantı noktası, SSH taşındıktan sonra kapatılır.

Düğümün yönetim bağlantı noktaları yalnızca ana sunucunun IP'sine açıktır, dışarıya değil (bu bağlamanın başarısız olması kurulumu iptal eder). Güvenlik duvarı etkinleşmezse kurulum başarısız olur. ICMP echo yalnızca IPv4 için sınırlandırılır; sunucunun 'görünmez' olduğunu vaat etmiyoruz ve IPv6'nın doğru çalışması için IPv6 ICMP korunur.

Unattended upgrades, güvenlik paketi güncellemelerini otomatik olarak kurar. Çekince: otomatik yeniden başlatma bilerek devre dışı bırakılmıştır (böylece doğrulanmamış bir çekirdek kendi başına yeniden başlatılmaz) — bu, yeniden başlatma gerektiren düzeltmelerin (çekirdek, bazen OpenSSH) yalnızca manuel veya zamanlanmış bir yeniden başlatmadan sonra uygulandığı anlamına gelir. 'Otomatik yama' kullanıcı alanı (userland) için doğrudur, yeniden başlatma gerektirenler için değil.

Sunucunun 'görünmez' olduğunu veya 'taranamayacağını' İDDİA ETMİYORUZ. 443 bağlantı noktası açıktır ve herhangi bir web sunucusu gibi bir TCP bağlantısına yanıt verir. 'Yanlış bir bağlantıda sıradan, alakasız bir web sitesi gibi görünür' özelliği, Xray içindeki Reality protokolü tarafından sağlanır — mutlak bir ifadeye dönüştürmediğimiz ayrı bir bileşen.

İş ortağı oturum açması, e-postaya gönderilen tek kullanımlık 6 haneli bir kodla yapılır. Hesap parolası yoktur. Bu, yönetilen bileşenlerin dahili kimlik bilgileri için — örneğin sunucu için üretilen yönetici parolası — geçerli değildir. Kodlar bir kriptografik üretici tarafından üretilir; yalnızca HMAC karmaları saklanır ve karşılaştırma sabit zamanlıdır. Kod başarıda hemen silinir, 5 yanlış denemeden sonra ise erkenden söndürülür. Verme hız sınırı hem tam adrese hem de asıl posta kutusuna göre sayılır: IP değiştirmek, Gmail adresindeki noktalar ve artı etiketleri ayrı bir limit sağlamaz.

Oturum token'ı, HttpOnly ve Secure bir çerezde durur (JS onu okuyamaz) ve arka uçta doğrulanır (yalnızca uç noktada değil). Boşta kalma zaman aşımı ve etkinsizlikte otomatik çıkış, sunucuda değil, istemcide uygulanır. Token HS256 ile imzalanır; doğrulamada başka herhangi bir algoritmayı (“none” dahil) kesinlikle reddederiz — klasik algoritma değiştirme saldırısı geçmez. Vitrin token'ı ile iş ortağı paneli token'ı hedef kitleye (audience) göre ayrılmıştır: bir son kullanıcı token'ı teknik olarak iş ortağı API'sine ulaşamaz (ve tersi). Silinmiş bir iş ortağı, canlı bir token'la bile reddedilir.

Her iş ortağı oturumunun, token yenilendiğinde de korunan sabit bir sunucu tarafı kimliği vardır. Normal çıkış, verilmiş tek bir token'ı değil, mevcut oturumun tamamını iptal eder. “Hesap oturumları” bölümünde cihaz, IP adresi, giriş zamanı ve son etkinlik görünür; herhangi bir oturum ayrı olarak sonlandırılabilir. “Her yerden çıkış yap” işlemi tüm oturumları sonlandırır ve bağlı yapay zekâ uygulamalarının bağlantısını keser.

Giriş geçmişi 90 gün saklanır ve başarılı girişleri, hatalı ve süresi dolmuş kodları, ayrıca deneme sayısının aşılmasını gösterir. Zaten yenisiyle değiştirilmiş bir token'ın yeniden kullanıldığına dair işaretler görüldüğünde sistem oturumu kopyalanmış sayar, tüm oturumları ve yapay zekâ bağlantılarını sonlandırır ve hesap sahibine bildirim gönderir.

Tarayıcının yerel deposunda (local storage) oturum token'ı yoktur, yalnızca arayüz ayarları vardır. Token'ı HttpOnly çereze Next.js'in sunucu tarafı katmanı koyar; tarayıcı arka ucun dahili adresini almaz ve ona Server Actions aracılığıyla erişir. CORS, diğer kaynakların (origin) yetkili veri içeren API yanıtlarını okumasına izin vermez.

Hesap sahibinin kendisinin yönettiği kasıtlı istisnalar vardır: e-postayla gelen koddan sonra özel SSH anahtarının dışa aktarılması (SR-4) ve tam sırrı oluşturulurken tarayıcıda bir kez gösterilen yeni Partner API anahtarı. Bundan sonra sır veritabanından geri alınamaz — orada yalnızca karma (hash) kalır. Herkese açık API alan adı amacı gereği internetten erişilebilir, ancak geçerli bir oturum, API anahtarı veya OAuth token'ı olmadan korunan veri döndürmez.

CreateYourVPN'in herkese açık host'ları, HSTS (max-age iki yıl, includeSubDomains) ile HTTPS üzerinden sunulur. Barındırdığımız her web ön yüzü — platform sitesi, iş ortağı paneli ve iş ortaklarının mağazaları; ister bizim alt alan adlarımızda ister iş ortağının kendi alan adında olsun — ve API alan adı aynı güvenlik başlığı setini gönderir: bir Content-Security-Policy (API'de default-src 'none'; ön yüzlerde iframe içine gömmeyi yasaklar ve base-uri ile form-action'ı sabitler), X-Content-Type-Options: nosniff, X-Frame-Options ve sıkı bir Referrer-Policy (API'de no-referrer; ön yüzlerde strict-origin-when-cross-origin — bu ön yüzler ayrıca kısıtlayıcı bir Permissions-Policy gönderir).

Bu, söz konusu host'ların tümünde üretimde çalışır ve bağımsız olarak doğrulanabilir — herhangi bir HTTP başlık denetleyicisiyle ya da SSL Labs gibi bir hizmetle.

Yapay zekâ uygulaması OAuth üzerinden bağlanır ve panelinizin çerezini almaz. Onay sayfasında üç düzeyden birini seçersiniz: yalnızca görüntüleme; görüntüleme ve yapılandırma; silme ve erişim verme. Yetkiler her çağrıda sunucu tarafından denetlenir. Kritik silme işlemleri e-postayla gelen ek bir tek kullanımlık kod gerektirir; bağlantının tamamı ise “Yapay zekâ bağlantıları” bölümünden iptal edilebilir.

Her araç çağrısı, sonucu ve argümanların güvenli bir kopyasıyla birlikte hesap sahibinin görebildiği günlüğe yazılır. Parolalar, token'lar, API anahtarları, özel anahtarlar ve abonelik bağlantıları kayıttan önce çıkarılır; kullanıcı e-postaları maskelenir. Bununla birlikte seçilen yapay zekâ uygulaması üçüncü taraf bir hizmet olmaya devam eder: okumasını veya değiştirmesini bilerek ona emanet ettiğiniz veriler, sağlayıcısının kurallarına göre de işlenir.