سجلّ الأمن.

تعزيز الحماية من هجمات DDoS

أصبح الموقع ولوحة تحكّم الشريك أكثر قدرة على تحمّل الضغط الناتج عن كثرة الطلبات.

إصلاح معالجة الصفحات غير الموجودة

أظهر تقرير من Tsabita أن بعض العناوين غير الموجودة على الموقع كانت تُرجع خطأ في الخادم بدلًا من صفحة «غير موجودة». لم تتضمن الاستجابات أي بيانات داخلية. تم إصلاح الخطأ، وأصبحت هذه العناوين تستجيب الآن بشكل صحيح. شكرًا على التقرير.

إغلاق ثغرة نواة Linux CVE-2026-98432

اكتُشفت الثغرة CVE-2026-98432 في طريقة معالجة نواة Linux لاتصالات TCP الواردة. وهي تؤثر في خوادم Linux بغض النظر عن الخدمة التي تعمل عليها.

جرى تحديث أنوية خوادم المنصة وخوادم VPN النشطة لدى الشركاء التي تعمل بإصدارات نظام مدعومة إلى إصدار يتضمن الإصلاح.

توحيد حدود نموذج الدعم العام

أظهر تقرير من Parth Narula أن استخدام عنوان بريد إلكتروني آخر كان يتيح إرسال طلبات إضافية عبر نموذج الدعم العام لدينا. وحّدنا حدود النموذج، فلم يعد تغيير العنوان يتيح إرسال طلبات إضافية. شكرًا على الإبلاغ المسؤول.

تم تقييد الوصول إلى واجهة خدمة الدعم

لفت باحث خارجي الانتباه إلى أن واجهة خدمة الدعم كانت متاحة من الإنترنت. وكانت الواجهة تتطلّب المصادقة؛ ولم يُعثَر على أي أثر لوصول غير مصرح به أو لكشف بيانات المستخدمين.

أخرجنا خدمة الدعم من السطح العام: فالوصول مسموح فقط من عناوين موثوقة وعبر قناة داخلية. وجرت مواءمة إعدادات الواجهة مع النطاق المُستخدَم فعليًا، وتم التحقّق من التقييد من شبكة خارجية.

قصر عنوان العودة على صفحات اللوحة

اكتشف باحث أمني أن عنوان العودة الخدمي المُستخدَم بعد استعادة الجلسة كان من الممكن أن يفسّره المتصفّح على أنه انتقال إلى موقع خارجي. وكان هذا السيناريو يتطلّب جلسة سارية، ولم يكن يمنح وصولًا إلى الحساب أو البيانات.

أصبح عنوان العودة يُختار الآن من قائمة مغلقة من الصفحات الداخلية. وأي قيمة أخرى تؤدي إلى الصفحة الرئيسية للوحة. والإصلاح مغطّى باختبارات سلبية آلية.

تفعيل إنفاذ DMARC

اكتشف باحث أمني أن سياسة DMARC لنطاق createyourvpn.com كانت تعمل في وضع المراقبة فقط ولم تكن تطلب رفض الرسائل التي تفشل في التحقق. فعّلنا p=reject للنطاق الأساسي وsp=reject لنطاقاته الفرعية التي لا ترسل البريد. وتظل رسائل المعاملات معزولة في نطاقات فرعية مخصصة للإرسال لها سياسات SPF وDKIM وDMARC خاصة بها.

تفعيل MTA-STS وتقارير TLS

اكتشف باحث أمني أن MTA-STS وتقارير TLS لم يكونا مهيأين للبريد الوارد على createyourvpn.com. نشرنا سياسة MTA-STS وفعّلنا تقارير TLS. تبدأ السياسة في وضع الاختبار بينما نتحقق من مسار إعادة التوجيه التابع لطرف ثالث؛ وسنفعّل الإنفاذ بعد ورود تقارير خالية من الأخطاء.

إضافة التحكّم في جلسات الحساب

اكتشف باحث أمني أن نسخة من رمز جلسة الشريك قد تظل نشطة بعد تسجيل الخروج إذا جرى تحديثها بشكل منفصل. نقلنا الجلسات إلى هوية موحدة على الخادم: أصبح تسجيل الخروج يلغي الجلسة الحالية بالكامل، بينما ينهي خيار «تسجيل الخروج من كل الأجهزة» جميع الجلسات النشطة.

وأُضيف إلى لوحة الشريك قسم «جلسات الحساب». يعرض هذا القسم عمليات الدخول الحالية مع الجهاز وعنوان IP ووقت الدخول وآخر نشاط، إضافةً إلى سجلّ محاولات الدخول الناجحة والفاشلة خلال 90 يومًا. ويمكن إنهاء أي جلسة على حدة أو إنهاء جميع الجلسات دفعة واحدة.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

حماية أقوى لنموذج الدعم العام

اكتشف الباحث الأمني 0xVicky أن نموذج الدعم العام لدينا كان يمكن إساءة استخدامه لإرسال عدد مفرط من الطلبات. أضفنا حدودًا لكل زائر ولإجمالي الطلبات، وحمينا قناة الإرسال الداخلية للنموذج، وعززنا التحقق من المرفقات. شكرًا على الإبلاغ المسؤول.

إدارة الجلسات وإرسال رموز الدخول

بناءً على تقارير من باحث خارجي، راجعنا مجالين متجاورين: دورة حياة جلسة الشريك، ومسار رسالة البريد التي تحمل رمز الدخول. لم يتِح أيٌّ من هذين الاكتشافين الوصول إلى الحسابات أو بيانات الشركاء أو حركة مرور المستخدمين.

ترويسات الأمان في صفحات المتاجر

لم تكن متاجر الشركاء ترسل ترويسات الأمان التي ترسلها اللوحة وواجهة الـ API بالفعل، ومنها الترويسة التي تمنع المواقع الأخرى من عرض الصفحة داخل إطار. ولم يكن ممكنًا عبر هذا الطريق قراءة بيانات الحساب أو الجلسات. الآن تُرسَل المجموعة كاملة مع كل استجابة من المتاجر، ويُسمّي الادعاء SR-15 كل واجهة نستضيفها.

يمكن للمستخدم إعادة تعيين رابط اشتراكه بنفسه

رابط الاشتراك سرّ: من يحصل عليه ينال الوصول نفسه الذي يملكه صاحبه. ويستطيع المستخدم إعادة تعيينه بنفسه من حسابه: يتوقف الرابط السابق عن العمل، وتُصدر بيانات الوصول التي خلفه من جديد. ويبقى الرابط المغلق بهذه الطريقة مغلقًا، حتى عند استعادة البيانات من نسخة احتياطية.

لم تعد عناوين البريد الإلكتروني لمستخدمي الواجهات محفوظة

يُدخل الشخص بريده الإلكتروني ليدخل إلى واجهة الشريك، لكن العنوان لا يستقرّ لدينا: تُرسَل رسالة الرمز ويُحذف العنوان فورًا. ويُتعرَّف على الحساب ببصمة لا يمكن عكسها ولا يُستخرَج منها العنوان، كما أن اسم الحساب لا يتضمّنه.

تم تقييد الوصول إلى لوحة إدارة البنية التحتية

أبلغ باحث خارجي أن واجهة إدارية خاصة بإدارة البنية التحتية كانت تستجيب من الإنترنت العام. كانت الواجهة محمية بالمصادقة ولم يُعثر على أي أثر لوصول غير مصرح به. تم قبول التقرير وتقييد الوصول.

أصبحت الواجهة الآن متاحة من العناوين المعتمدة فقط، وشُددت متطلبات المصادقة، وحُدّثت المكونات المعنية. جرى التحقق من النتيجة من خارج شبكتنا. كما راجعنا سطحنا العام وأضفنا فحصًا دوريًا له. وقد دُفعت المكافأة وفق أعلى فئة.

إزالة مسار مصادقة غير مُستخدَم في واجهة API الخاصة بالشركاء

كانت واجهة API تدعم مسار مصادقة إضافيًا يعتمد على ملفات cookie لم تكن بنية server-side الحالية بحاجة إليه. لم يُكتشَف أي هجوم عبر المواقع في production، لكن المسار الإضافي كان يوسّع سطح الأخطاء المستقبلية. تعتمد واجهة API الآن طريقة مصادقة واحدة محدَّدة صراحةً، ومغطّاة باختبارات سلبية.

ضمان محو مفتاح الإدارة بعد حذف الخادم

كان محو مفتاح الإدارة المشفَّر يجري بعد عمليات شبكية في الخلفية، وقد يتعذّر تكراره إذا فشلت تلك العمليات. فصلنا محو المفتاح عن سلسلة العمليات الشبكية وأضفنا إعادة محاولة مضمونة. وسيناريوهات الخادم غير المتاح وانقطاع العملية مغطّاة باختبارات.

فصل مفاتيح التشفير الخاصة بالمنصة بحسب الغرض

كشفت مراجعة داخلية أن سرًّا واحدًا كان يُستخدم لمهمّتين تشفيريتين مختلفتين. لم يُنشئ ذلك تجاوزًا مباشرًا للحماية، لكنه وسّع نطاق تأثير اختراق المفتاح. جرى فصل الغرضين، ويجري الآن تدوير كلٍّ منهما بشكل مستقل.

تقليص السطح العام لواجهة production API

كانت الوثائق التقنية التفاعلية لواجهة API متاحة دون مصادقة. لم يكن ذلك يتيح الوصول إلى بيانات محمية، لكنه كان يسهّل دراسة البنية الداخلية لواجهة API. في production أصبحت الوثائق الآن معطّلة، مع بقائها متاحة في بيئة معزولة لأغراض التطوير.

أُضيفت حماية ضد إعداد غير آمن للوصول عبر النطاقات (cross-origin)

لم يكن إعداد production الحالي يسمح بمصادر عشوائية، لكن الشيفرة كانت تتيح تركيبة خطيرة من المعاملات في حال أخطأ المشغّل في الإعداد. أصبحت هذه التركيبة تُرفَض الآن عند بدء التشغيل ومغطّاة باختبار آلي.

مراجعة داخلية قبل إطلاق البرنامج

في 15 يوليو 2026 بدأنا مراجعة أمنية داخلية لـ CreateYourVPN. الإصلاحات التي أكملناها وأعدنا التحقق منها منشورة أدناه؛ وستتبعها إصلاحات أخرى مع نشرها وتأكيدها.