Diari de seguretat.

S'ha reforçat la protecció contra els atacs DDoS

El lloc web i el tauler del soci ara resisteixen millor la sobrecàrrega de peticions.

Corregit el tractament de pàgines inexistents

Un informe de Tsabita va mostrar que algunes adreces inexistents del lloc retornaven un error del servidor en lloc d’una pàgina de «no trobat». Les respostes no contenien dades internes. L’error s’ha corregit i ara aquestes adreces responen correctament. Gràcies per l’informe.

Tancada la vulnerabilitat del nucli de Linux CVE-2026-98432

S'ha detectat la vulnerabilitat CVE-2026-98432 en la manera com el nucli de Linux gestiona les connexions TCP entrants. Afecta els servidors Linux independentment del servei que hi funcioni.

Els nuclis dels servidors de la plataforma i dels servidors VPN actius dels socis amb versions del sistema compatibles s'han actualitzat a una versió amb la correcció.

Límits alineats al formulari públic de suport

Un informe de Parth Narula va mostrar que, amb una altra adreça electrònica, el nostre formulari públic de suport permetia enviar sol·licituds addicionals. Hem alineat els límits del formulari, de manera que canviar d’adreça ja no permet enviar més sol·licituds. Gràcies per la comunicació responsable.

S’ha restringit l’accés a la interfície del servei de suport

Un investigador extern va advertir que la interfície del servei de suport era accessible des d’internet. La interfície requeria autenticació; no s’han detectat indicis d’accés no autoritzat ni de divulgació de dades d’usuaris.

Hem exclòs el servei de suport de la superfície pública: l’accés només es permet des d’adreces de confiança i a través d’un canal intern. La configuració de la interfície s’ha adaptat al domini en ús, i la restricció s’ha verificat des de fora de la nostra xarxa.

L’adreça de retorn es limita a les pàgines del tauler

Un investigador de seguretat va descobrir que el navegador podia interpretar com una navegació a un lloc extern l’adreça de retorn de servei que s’utilitza després de restaurar la sessió. L’escenari requeria una sessió vàlida i no donava accés al compte ni a les dades.

Ara l’adreça de retorn es tria d’una llista tancada de pàgines internes. Qualsevol altre valor porta a la pàgina principal del tauler. La correcció està coberta per proves negatives automàtiques.

Aplicació de DMARC activada

Un investigador de seguretat va descobrir que la política DMARC de createyourvpn.com només funcionava en mode de supervisió i no exigia rebutjar els missatges que no superaven la comprovació. Hem activat p=reject per al domini principal i sp=reject per als seus subdominis que no envien correu. El correu transaccional continua aïllat en subdominis d’enviament dedicats amb polítiques SPF, DKIM i DMARC pròpies.

MTA-STS i informes TLS activats

Un investigador de seguretat va descobrir que MTA-STS i els informes TLS no estaven configurats per al correu entrant de createyourvpn.com. Hem publicat una política MTA-STS i activat els informes TLS. Al principi, la política funciona en mode de prova mentre comprovem la ruta de reenviament d’un tercer; activarem l’aplicació després de rebre informes sense errors.

Afegit el control de les sessions del compte

Un investigador de seguretat va descobrir que una còpia del token d’una sessió de partner podia continuar activa després de tancar la sessió si s’havia renovat per separat. Hem passat les sessions a una identitat única al servidor: ara el tancament de sessió revoca tota la sessió actual, i l’acció «Tanca la sessió a tot arreu» finalitza totes les sessions actives.

Al tauler ha aparegut la secció «Sessions del compte». S’hi veuen els inicis de sessió actuals amb el dispositiu, l’adreça IP, l’hora d’inici de sessió i l’última activitat, així com l’historial d’intents d’inici de sessió correctes i fallits dels últims 90 dies. Qualsevol sessió es pot tancar per separat, o es poden tancar totes alhora.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Protecció reforçada per al formulari públic de suport

L’investigador de seguretat 0xVicky va descobrir que el nostre formulari públic de suport es podia utilitzar per enviar un nombre excessiu de sol·licituds. Hem afegit límits per visitant i per al trànsit total, hem protegit el canal intern d’enviament del formulari i hem reforçat la validació dels adjunts. Gràcies per la comunicació responsable.

Gestió de sessions i enviament de codis d'accés

Arran dels informes d'un investigador extern, hem revisat dues àrees contigües: el cicle de vida d'una sessió de soci i el recorregut del correu amb el codi d'accés. Cap de les troballes donava accés a comptes, dades de socis ni trànsit d'usuaris.

Capçaleres de seguretat a les pàgines de les botigues

Les botigues dels socis no enviaven les capçaleres de seguretat que el panell i l'API ja enviaven, entre elles la que impedeix que altres llocs mostrin la pàgina en un iframe. Per aquesta via no es podien llegir dades del compte ni sessions. Ara el conjunt complet acompanya cada resposta de les botigues i l'afirmació SR-15 anomena cada frontend que allotgem.

L'usuari pot restablir ell mateix el seu enllaç de subscripció

Un enllaç de subscripció és un secret: qui el té obté el mateix accés que el seu propietari. L'usuari el pot restablir ell mateix des del seu compte: l'enllaç anterior deixa de funcionar i les credencials associades s'emeten de nou. Un enllaç tancat així es manté tancat, també quan es restauren dades d'una còpia de seguretat.

Les adreces de correu dels usuaris de les botigues ja no es desen

Una persona escriu el seu correu per entrar a la botiga d'un soci, però l'adreça no es queda a casa nostra: el correu amb el codi surt i l'adreça s'elimina immediatament. El compte es reconeix per una empremta irreversible de la qual no es pot recuperar l'adreça, i el nom del compte tampoc no la conté.

S'ha restringit l'accés al tauler de gestió de la infraestructura

Un investigador extern va informar que una interfície administrativa de gestió de la infraestructura responia des d'internet. La interfície estava protegida amb autenticació i no s'hi van trobar indicis d'accés no autoritzat. L'informe es va acceptar i l'accés es va restringir.

Ara la interfície només és accessible des d'adreces autoritzades, els requisits d'autenticació s'han reforçat i els components implicats s'han actualitzat. El resultat es va verificar des de fora de la nostra xarxa. A més, hem revisat la nostra superfície pública i hi hem afegit una comprovació periòdica. La recompensa s'ha pagat al nivell més alt.

Eliminat un camí d'autorització de l'API de partners que no s'utilitzava

L'API admetia un camí d'autorització addicional basat en cookie que l'arquitectura server-side actual no necessitava. No es va trobar cap atac entre llocs a production, però el camí addicional ampliava la superfície per a errors futurs. Ara l'API utilitza un únic mètode d'autorització definit explícitament, cobert per proves negatives.

Garantida la neteja de la clau de gestió després d'eliminar un servidor

La neteja de la clau de gestió xifrada s'executava després d'operacions de xarxa en segon pla i podia no repetir-se si aquelles operacions fallaven. Hem desacoblat la neteja de la clau de la cascada de xarxa i hi hem afegit un reintent garantit. Els escenaris de servidor inaccessible i de procés interromput estan coberts per proves.

Claus criptogràfiques de la plataforma separades per finalitat

Una revisió interna va detectar que un únic secret s'utilitzava per a dues tasques criptogràfiques diferents. Això no creava cap evasió directa, però ampliava l'abast d'una compromissió de la clau. Les dues finalitats s'han separat i ara cadascuna es rota de manera independent.

Reduïda la superfície pública de l'API de production

La documentació tècnica interactiva de l'API era accessible sense autenticació. No donava accés a dades protegides, però facilitava l'estudi de l'estructura interna de l'API. A production la documentació ara està desactivada, tot mantenint-se disponible en un entorn aïllat per al desenvolupament.

Afegida una protecció contra una configuració cross-origin insegura

La configuració de production actual no permetia orígens arbitraris, però el codi permetia una combinació perillosa de paràmetres si un operador la configurava malament. Aquesta combinació ara es rebutja a l'inici i està coberta per una prova automatitzada.

Revisió interna abans del llançament del programa

El 15 de juliol de 2026 vam iniciar una revisió de seguretat interna de CreateYourVPN. Les correccions que hem completat i tornat a verificar es publiquen a continuació; en seguiran més a mesura que es desplegui i es confirmi.