Журнал безопасности.

Внутренняя проверка перед запуском программы

15 июля 2026 года мы начали внутреннюю проверку безопасности CreateYourVPN. Исправления, которые мы завершили и перепроверили, опубликованы ниже; остальные появятся по мере развёртывания и подтверждения.

Добавлена защита от небезопасной конфигурации междоменного доступа

Текущая production-конфигурация не разрешала произвольные источники, однако код допускал опасное сочетание параметров при ошибке оператора. Теперь такая конфигурация отклоняется при запуске и покрыта автоматическим тестом.

Сокращена публичная поверхность production API

Интерактивная техническая документация API была доступна без аутентификации. Это не давало доступа к защищённым данным, но облегчало изучение внутренней структуры API. В production документация теперь отключена, а для разработки остаётся доступна в изолированной среде.

Разделены криптографические ключи платформы

Внутренняя проверка обнаружила, что один секрет использовался для двух разных криптографических задач. Прямого обхода защиты это не создавало, однако увеличивало последствия компрометации ключа. Назначения разделены и получили независимую ротацию.

Гарантирована очистка управляющего ключа после удаления сервера

Очистка зашифрованного управляющего ключа выполнялась после фоновых сетевых операций и могла не повториться при их сбое. Мы отделили очистку ключа от сетевого каскада и добавили гарантированное повторение. Сценарии недоступного сервера и прерывания процесса покрыты тестами.

Удалён неиспользуемый способ авторизации партнёрского API

API поддерживал дополнительный cookie-путь авторизации, который не требовался текущей server-side архитектуре. Подтверждённой межсайтовой атаки в production не обнаружено, однако лишний путь увеличивал поверхность будущих ошибок. API переведён на один явно определённый способ авторизации и покрыт негативными тестами.

Ограничен доступ к панели управления инфраструктурой

Внешний исследователь сообщил, что административный интерфейс управления инфраструктурой отвечал из публичной сети. Интерфейс был защищён аутентификацией, признаков несанкционированного доступа не обнаружено. Отчёт принят, доступ ограничен.

Сейчас интерфейс доступен только с разрешённых адресов, требования к аутентификации усилены, задействованные компоненты обновлены. Результат проверен из внешней сети. Дополнительно пересмотрена публично доступная поверхность и добавлена её регулярная проверка. Награда выплачена по высшему уровню.

Адреса пользователей витрин больше не хранятся

Человек вводит свой email, чтобы войти в витрину партнёра, но у нас этот адрес не оседает: письмо с кодом уходит, и адрес сразу удаляется. Аккаунт узнаётся по необратимому отпечатку, из которого адрес не восстановить, а имя аккаунта его не содержит.

Пользователь может сам сбросить свою ссылку подписки

Ссылка подписки — это секрет: тот, у кого она есть, получает такой же доступ, как её владелец. Пользователь может сбросить её сам в личном кабинете — прежняя ссылка перестаёт работать, а доступы за ней выпускаются заново. Закрытая так ссылка остаётся закрытой, в том числе при восстановлении данных из резервной копии.

Security-заголовки на страницах витрин

Витрины партнёров не отдавали security-заголовки, которые панель и API отдавали давно, — в том числе тот, что запрещает чужим сайтам показывать страницу во фрейме. Прочитать так данные аккаунта или сессию было нельзя. Сейчас витрины отдают весь набор, а в тексте SR-15 перечислены все наши фронтенды.

Управление сессиями и отправка кодов входа

По отчётам внешнего исследователя мы пересмотрели два смежных участка: жизненный цикл партнёрской сессии и путь письма с кодом входа. Доступа к аккаунтам, данным партнёров или трафику пользователей ни одна из находок не давала.

Усилили защиту публичной формы поддержки

Исследователь 0xVicky обнаружил, что публичную форму поддержки можно было использовать для массовой отправки обращений. Мы добавили ограничения для каждого посетителя и общего потока, защитили внутренний канал отправки и усилили проверку вложений. Спасибо за ответственное сообщение.

Включили DNSSEC

Исследователь обнаружил отсутствие DNSSEC для createyourvpn.com. Мы подписали DNS-зону, опубликовали DS-запись в .com и подтвердили цепочку доверия.

Партнёрские сессии теперь можно отозвать полностью

Исследователь обнаружил, что копия токена партнёрской сессии могла остаться активной после выхода, если была отдельно обновлена. Мы перевели сессии на единый серверный идентификатор: теперь обычный выход отзывает всю текущую сессию, а действие «Выйти на всех устройствах» завершает все активные сессии.

Включены MTA-STS и TLS-отчёты

Исследователь обнаружил, что для входящей почты createyourvpn.com не были настроены MTA-STS и TLS-отчёты. Мы опубликовали MTA-STS-политику и включили TLS-отчёты. Сначала политика работает в режиме testing, пока мы проверяем сторонний маршрут пересылки; enforce включим после чистых отчётов.

Включено принудительное применение DMARC

Исследователь обнаружил, что DMARC-политика createyourvpn.com работала только в режиме мониторинга и не требовала отклонять письма, не прошедшие проверку. Мы включили p=reject для основного домена и sp=reject для его неотправляющих поддоменов. Транзакционные письма по-прежнему изолированы на отдельных отправляющих поддоменах со своими политиками SPF, DKIM и DMARC.