Güvenlik günlüğü.

DDoS saldırılarına karşı koruma güçlendirildi

Site ve iş ortağı paneli artık aşırı istek yüküne karşı daha dayanıklı.

Var olmayan sayfaların işlenmesi düzeltildi

Tsabita’nın raporu, sitedeki var olmayan bazı adreslerin “bulunamadı” sayfası yerine sunucu hatası döndürdüğünü gösterdi. Yanıtlarda dahili veri yoktu. Hata düzeltildi; bu tür adresler artık doğru yanıt veriyor. Rapor için teşekkür ederiz.

Linux çekirdeği güvenlik açığı CVE-2026-98432 kapatıldı

Linux çekirdeğinin gelen TCP bağlantılarını işleme biçiminde CVE-2026-98432 güvenlik açığı bulundu. Bu açık, çalıştırdıkları hizmetten bağımsız olarak Linux sunucularını etkiler.

Platform sunucularının ve desteklenen sistem sürümlerini kullanan iş ortaklarının etkin VPN sunucularının çekirdekleri, düzeltmeyi içeren bir sürüme güncellendi.

Herkese açık destek formunda sınırlar eşitlendi

Parth Narula’nın raporu, farklı bir e-posta adresiyle herkese açık destek formumuz üzerinden ek istekler gönderilebildiğini gösterdi. Formun sınırlarını birbirine eşitledik; artık adres değiştirmek ek istek hakkı vermiyor. Sorumlu bildirim için teşekkür ederiz.

Destek hizmeti arayüzüne erişim kısıtlandı

Harici bir araştırmacı, destek hizmeti arayüzünün internetten erişilebilir olduğuna dikkat çekti. Arayüz kimlik doğrulama gerektiriyordu; yetkisiz erişime veya kullanıcı verilerinin ifşasına dair bir iz bulunmadı.

Destek hizmetini herkese açık yüzeyden çıkardık: erişime yalnızca güvenilir adreslerden ve dahili bir kanal üzerinden izin veriliyor. Arayüz ayarları, hizmetin çalıştığı alan adıyla uyumlu hâle getirildi ve kısıtlama harici bir ağdan doğrulandı.

Dönüş adresi panel sayfalarıyla sınırlandırıldı

Bir araştırmacı, oturum geri yüklendikten sonra kullanılan dahili dönüş adresinin tarayıcı tarafından harici bir siteye geçiş olarak yorumlanabildiğini keşfetti. Senaryo geçerli bir oturum gerektiriyordu ve hesaba ya da verilere erişim sağlamıyordu.

Dönüş adresi artık dahili sayfalardan oluşan kapalı bir listeden seçiliyor. Başka her değer panelin ana sayfasına yönlendiriyor. Düzeltme otomatik negatif testlerle kapsanıyor.

DMARC yaptırımı etkinleştirildi

Bir güvenlik araştırmacısı, createyourvpn.com DMARC politikasının yalnızca izleme modunda çalıştığını ve doğrulamadan geçemeyen iletilerin reddedilmesini zorunlu kılmadığını keşfetti. Ana alan adı için p=reject, posta göndermeyen alt alan adları için sp=reject ayarını etkinleştirdik. İşlemsel posta, kendi SPF, DKIM ve DMARC politikaları bulunan ayrı gönderim alt alan adlarında yalıtılmış kalıyor.

MTA-STS ve TLS raporlaması etkinleştirildi

Bir güvenlik araştırmacısı, createyourvpn.com gelen postası için MTA-STS ve TLS raporlamasının yapılandırılmadığını keşfetti. Bir MTA-STS politikası yayımladık ve TLS raporlamasını etkinleştirdik. Üçüncü taraf yönlendirme yolunu doğrularken politika önce test modunda çalışacak; temiz raporların ardından yaptırım etkinleştirilecek.

Hesap oturumları denetimi eklendi

Bir güvenlik araştırmacısı, ayrı olarak yenilenmiş bir partner oturumu token kopyasının çıkış yapıldıktan sonra etkin kalabildiğini keşfetti. Oturumları tek bir sunucu kimliğine taşıdık: çıkış artık mevcut oturumun tamamını iptal ederken “Her yerden çıkış yap” işlemi tüm etkin oturumları sonlandırıyor.

Partner panelinde “Hesap oturumları” bölümü eklendi. Bu bölümde cihaz, IP adresi, giriş zamanı ve son etkinlik bilgileriyle birlikte mevcut girişler ve son 90 güne ait başarılı ve başarısız giriş denemelerinin geçmişi görüntülenir. Herhangi bir oturum ayrı ayrı sonlandırılabilir ya da tüm oturumlar tek seferde sonlandırılabilir.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Herkese açık destek formu için daha güçlü koruma

Güvenlik araştırmacısı 0xVicky, herkese açık destek formumuzun aşırı sayıda istek göndermek için kötüye kullanılabileceğini keşfetti. Ziyaretçi başına ve toplam trafik için sınırlar ekledik, formun dahili gönderim kanalını korumaya aldık ve ek dosya denetimini güçlendirdik. Sorumlu bildirim için teşekkür ederiz.

Oturum yönetimi ve giriş kodu gönderimi

Bir dış araştırmacının raporları üzerine iki komşu alanı gözden geçirdik: ortak oturumunun yaşam döngüsü ve giriş kodu e-postasının izlediği yol. Bulguların hiçbiri hesaplara, ortak verilerine veya kullanıcı trafiğine erişim sağlamıyordu.

Mağaza sayfalarında güvenlik başlıkları

İş ortaklarının mağazaları, panel ile API'nin çoktan gönderdiği güvenlik başlıklarını göndermiyordu; bunların arasında başka sitelerin sayfayı çerçeve içinde göstermesini engelleyen başlık da vardı. Bu yolla hesap verileri veya oturumlar okunamıyordu. Artık başlıkların tamamı her mağaza yanıtıyla gönderiliyor ve SR-15 ifadesi barındırdığımız her ön yüzü tek tek anıyor.

Kullanıcı abonelik bağlantısını kendisi sıfırlayabilir

Abonelik bağlantısı bir sırdır: bağlantıyı ele geçiren kişi, sahibiyle aynı erişimi elde eder. Kullanıcı bunu kendi hesabından sıfırlayabilir: önceki bağlantı çalışmayı bırakır ve arkasındaki erişim bilgileri yeniden oluşturulur. Bu şekilde kapatılan bağlantı, veriler yedekten geri yüklense de kapalı kalır.

Vitrin kullanıcılarının e-posta adresleri artık saklanmıyor

Bir kişi bir iş ortağının vitrinine giriş yapmak için e-postasını yazar, ama adres bizde kalmaz: kodu içeren e-posta gider ve adres hemen silinir. Hesap, adresin geri elde edilemeyeceği geri döndürülemez bir parmak iziyle tanınır; hesap adı da adresi içermez.

Altyapı yönetim paneline erişim kısıtlandı

Harici bir araştırmacı, altyapı yönetimine ait bir arayüzün genel internetten yanıt verdiğini bildirdi. Arayüz kimlik doğrulama ile korunuyordu ve yetkisiz erişime dair bir ize rastlanmadı. Bildirim kabul edildi ve erişim kısıtlandı.

Arayüze artık yalnızca onaylı adreslerden erişilebiliyor, kimlik doğrulama gereksinimleri güçlendirildi ve ilgili bileşenler güncellendi. Sonuç ağımızın dışından doğrulandı. Ayrıca genel yüzeyimizi gözden geçirdik ve düzenli bir kontrol ekledik. Ödül en üst kademeden ödendi.

Kullanılmayan bir iş ortağı API yetkilendirme yolu kaldırıldı

API, mevcut server-side mimarisinin ihtiyaç duymadığı, cookie tabanlı ek bir yetkilendirme yolunu destekliyordu. production'da herhangi bir siteler arası saldırı bulunmadı, ancak fazladan yol gelecekteki hatalar için yüzeyi genişletiyordu. API artık açıkça tanımlanmış tek bir yetkilendirme yöntemi kullanıyor ve negatif testlerle kapsanıyor.

Sunucu silindikten sonra yönetim anahtarının temizlenmesi garanti altına alındı

Şifreli yönetim anahtarının temizlenmesi, arka plandaki ağ işlemlerinden sonra çalışıyordu ve bu işlemler başarısız olursa yinelenmeyebiliyordu. Anahtar temizlemeyi ağ zincirinden ayırdık ve garantili bir yeniden deneme ekledik. Erişilemeyen sunucu ve kesintiye uğrayan süreç senaryoları testlerle kapsanıyor.

Platformun kriptografik anahtarları amaca göre ayrıldı

Bir dahili inceleme, tek bir gizli anahtarın iki farklı kriptografik iş için kullanıldığını buldu. Bu, doğrudan bir atlatma oluşturmuyordu, ancak bir anahtarın ele geçirilmesinin etki alanını genişletiyordu. İki amaç birbirinden ayrıldı ve her biri artık bağımsız olarak döndürülüyor.

production API'nin herkese açık yüzeyi küçültüldü

API'nin etkileşimli teknik belgeleri kimlik doğrulaması olmadan erişilebiliyordu. Bu, korunan verilere erişim sağlamıyordu, ancak API'nin iç yapısını incelemeyi kolaylaştırıyordu. production'da belgeler artık devre dışı bırakıldı; geliştirme için ise yalıtılmış bir ortamda erişilebilir kalıyor.

Güvensiz cross-origin yapılandırmasına karşı bir koruma eklendi

Mevcut production yapılandırması rastgele origin'lere izin vermiyordu, ancak bir operatör yanlış yapılandırırsa kod tehlikeli bir parametre birleşimine izin veriyordu. Bu birleşim artık başlangıçta reddediliyor ve otomatik bir testle kapsanıyor.

Program başlamadan önce dahili inceleme

15 Temmuz 2026'da CreateYourVPN'in dahili bir güvenlik incelemesine başladık. Tamamlayıp yeniden doğruladığımız düzeltmeler aşağıda yayımlanmıştır; dağıtıldıkça ve doğrulandıkça daha fazlası eklenecektir.