v1.6 · 10 اکتبر 2026
سند فنی امنیت Colitu
معماری، مدل تهدید، پروتکل‌ها، مدیریت کلید، ثبت گزارش‌ها، محدودیت‌های شناخته‌شده و نقشهٔ راه. هر عبارت دربارهٔ کد و سرورهایی است که امروز در حال اجرا هستند.
01
امنیت Colitu در یک نگاه
سبز: در هر پلتفرمِ نام‌برده‌شده همان‌طور که شرح داده شده کار می‌کند. زرد: تا حدی یا با محدودیت‌های مستندشده. قرمز: هنوز در دسترس نیست.
| برنامه‌های متن‌باز | برنامه‌های Android و iOS و Windows و Linux متن‌باز هستند (GPL-3.0). نرم‌افزار سرور بسته است. |
|---|---|
| تونل رمزگذاری‌شده | Hysteria2 و VLESS Reality و VLESS XHTTP و Trojan و Shadowsocks 2022 با پیاده‌سازی‌های شناخته‌شده (Xray-core و sing-box و Hysteria). |
| محتوای ترافیک و سابقهٔ مرور | ثبت نمی‌شود. سرورهای VPN هیچ گزارش اتصالی به‌ازای هر اتصال نگه نمی‌دارند. |
| حجم ترافیک به‌ازای هر کاربر | روی هر سرور در بازه‌های تقریباً 15 ثانیه‌ای ثبت می‌شود و برای سهمیه‌ها 90 روز نگه داشته می‌شود؛ پس از آن فقط جمع هر دوره. |
| DNS از طریق تونل | در برنامه‌های Android و iOS و در حالت TUN بله. در حالت پروکسی سیستمی (پیش‌فرض Linux؛ نصب‌های جدید Windows در حالت TUN شروع می‌شوند) برای برنامه‌هایی که خارج از پروکسی هستند نه. |
| محافظت در برابر نشت IPv6 | در Android و iOS مسدود است، و در Windows و Linux در حالت TUN با روشن بودن قطع‌کن اضطراری (Kill Switch). حالت پروکسی سیستمی را پوشش نمی‌دهد. |
| قطع‌کن اضطراری (Kill Switch) | Windows: سرویس مستقل با قوانین دائمی دیوار آتش؛ Linux (حالت TUN): قوانین nftables؛ هر دو در صورت از کار افتادن برنامه به مسدودسازی ادامه می‌دهند. Android به تنظیم «VPN همیشه روشن» سیستم متکی است؛ iOS یک گزینهٔ اختیاری «مسدود کردن اینترنت بدون VPN» دارد (به‌صورت پیش‌فرض خاموش). |
| سایت‌های منطقه‌ای که خارج از VPN مسیریابی می‌شوند | از Windows و Android نسخهٔ 2.7.0 و iOS نسخهٔ 5.6.0 و Linux نسخهٔ 1.3.0 برای نصب‌های جدید به‌صورت پیش‌فرض خاموش است (حالت حریم خصوصی روشن است)؛ نصب‌های قبلی تنظیم قبلی خود را حفظ می‌کنند. وقتی حالت حریم خصوصی خاموش شود، در هر چهار برنامه سایت‌های فهرست داخلی خارج از VPN می‌روند، مگر زمانی که به سروری در همان منطقه وصل باشید. شرح آن در §9 آمده است. |
| تأیید دومرحله‌ای برای کاربران | برای هر حساب اختیاری است (در وب‌سایت تنظیم می‌شود)؛ هر چهار برنامه هنگام ورود کد را می‌پرسند. برای حساب‌های مدیر اجباری است. |
| کلیدهای عبور (passkey) و کنترل نشست | کلید عبور برای وب‌سایت (تا 10 عدد برای هر حساب)؛ صفحهٔ امنیت نشست‌های مرورگر را فهرست می‌کند و پایان می‌دهد؛ تغییر رمز عبور همهٔ نشست‌های دیگر را پایان می‌دهد. برنامه‌ها مثل قبل با رمز عبور وارد می‌شوند. |
| اتصال API سنجاق‌شده در برنامه‌ها | از نسخه‌های برنامه در 10 اکتبر 2026، هر چهار برنامه مراجع صدور گواهی ریشهٔ Let's Encrypt (ISRG) و Google Trust Services را برای API سنجاق (pinning) می‌کنند. محدودیت‌ها: §12. |
| تونل‌زنی تقسیم‌شده | برنامه‌ها، سایت‌ها و نشانی‌های IP در Windows و Android و Linux (برنامه‌ها در حالت TUN فقط در Windows و Linux)؛ سایت‌ها و نشانی‌های IP در iOS، که VPN به‌ازای هر برنامه را فقط برای پروفایل‌های مدیریت‌شده مجاز می‌کند. |
| Colitu Shield (محافظت DNS) | اختیاری. دامنه‌های تبلیغات، ردیاب‌ها، بدافزار، فیشینگ، کلاهبرداری و استخراج رمزارز را مسدود می‌کند (حدود 380 هزار قانون). هیچ گزارش پرس‌وجو و هیچ آماری روی حل‌کننده‌های آن نیست. |
| تحلیل‌گر شخص ثالث | در هیچ برنامه‌ای (Android، iOS، Windows، Linux) وجود ندارد. از برنامهٔ iOS در نسخهٔ 5.4.1 حذف شد. |
| به‌روزرسانی‌های امضاشده | مانیفست به‌روزرسانی امضاشده (ECDSA P-256) به‌علاوهٔ SHA-256 در Android و Windows و Linux؛ امضای App Store در iOS. |
| امضای کد Windows (Authenticode) | هنوز نه. |
| ساخت‌های بازتولیدپذیر | هنوز نه. |
| SBOM | SPDX برای هر انتشار GitHub برنامه‌های Android و Windows؛ Linux هنوز نه. |
| ممیزی امنیتی مستقل | هنوز انجام نشده است. |
| افشای مسئولانهٔ آسیب‌پذیری | security@colitu.com، سیاست در §18 و security.txt. |
| میزبانی شخصی | ارائه نمی‌شود. Colitu همهٔ سرورها را خودش اجرا می‌کند. |
02
اسناد امنیت و حریم خصوصی
سیاست حریم خصوصیفهرست کامل اینکه چه داده‌هایی را، چرا و تا چه مدت نگه می‌داریم.متن‌باز و راستی‌آزمایی ساختکد منبع برنامه‌های Windows، Android، iOS و Linux و روش بررسی فایلی که دانلود می‌کنید.محدودیت‌های شناخته‌شدهآنچه Colitu امروز نمی‌تواند از آن محافظت کند و آنچه هنوز وجود ندارد.نقشهٔ راه امنیتیبهبودهای بعدی امنیت و حریم خصوصی.گزارش فنی Adaptive Connect 2.0برنامه‌ها چگونه مسیر کارآمد را پیدا می‌کنند و مسیر پشتیبان آماده را نگه می‌دارند؛ همراه با روش و نتایج.سیاست افشای مسئولانهنحوهٔ گزارش آسیب‌پذیری، دامنه، قواعد، پناهگاه امن حقوقی و زمان‌های پاسخ.
status.colitu.com
Sistem durumu03
شفافیت
درخواست‌های رسمی و اقدامات مقابله با سوءاستفاده را که به دست ما می‌رسد در گزارش‌های دوره‌ای منتشر می‌کنیم.
گزارش‌های شفافیت
به‌تفکیک دوره منتشر می‌شوند؛ جدیدترین در بالا.- گزارش شفافیت · Q3 20261 ژوئیهٔ 2026 – 30 سپتامبر 2026انتشار: 1 اکتبر 2026
- درخواست‌های مراجع رسمی
- 0
- درخواست‌هایی که داده‌ای در پاسخشان داده شد
- 0
- اعلان‌های محتوا و حق نشر
- 0
- گزارش‌های سوءاستفاده
- 0
- حساب‌های محدودشده
- 0
Colitu در 12 سپتامبر 2026 راه‌اندازی شد؛ این نخستین گزارش بازهٔ زمانی از راه‌اندازی تا 30 سپتامبر را در بر می‌گیرد. در این مدت از هیچ مرجعی درخواست دریافت داده‌های کاربران نکردیم و هیچ داده‌ای از کاربران را با کسی به اشتراک نگذاشتیم.
هر گزارش شامل
- درخواست‌های مراجع رسمیدرخواست داده‌های کاربران از سوی دادگاه‌ها، پلیس یا نهادهای دیگر.
- درخواست‌هایی که داده‌ای در پاسخشان داده شداز این درخواست‌ها در چند مورد هر نوع داده‌ای به اشتراک گذاشته شد.
- اعلان‌های محتوا و حق نشراعلان‌های DMCA و موارد مشابه.
- گزارش‌های سوءاستفادهگزارش‌های هرزنامه، حمله یا کلاهبرداری از سمت سرورهای ما.
- حساب‌های محدودشدهحساب‌هایی که به دلیل سوءاستفاده محدود شده‌اند.
وقتی درخواستی دریافت می‌کنیم
هر درخواست را از نظر مبنای قانونی بررسی می‌کنیم و فقط می‌توانیم داده‌ای را تحویل دهیم که در اختیار داریم. محتوای ترافیک، سایت‌های بازدیدشده، پرس‌وجوهای DNS و نشانی‌های IP روی سرورهای VPN ثبت نمی‌شوند. فهرست کامل داده‌هایی که واقعاً نگه می‌داریم در سند فنی آمده است.
آنچه ذخیره می‌کنیم04
گزارش رویدادها
رویدادهایی که بر حریم خصوصی یا امنیت اثر می‌گذارند اینجا و در سند فنی شرح داده می‌شوند.
گزارش آسیب‌پذیری
اگر آسیب‌پذیری‌ای یافتید، لطفاً پیش از انتشار عمومی آن را به security@colitu.com گزارش دهید. ظرف 3 روز کاری پاسخ می‌دهیم و علیه پژوهش‌های حسن‌نیت اقدام قانونی نمی‌کنیم. سیاست افشا
راه‌های تماس برای حریم خصوصی، امنیت و سوءاستفاده
- حریم خصوصی و درخواست‌های دادهprivacy@colitu.comدرخواست دسترسی، اصلاح یا حذف داده‌های شخصی شما.
- گزارش آسیب‌پذیریsecurity@colitu.comآسیب‌پذیری‌های برنامه‌ها یا زیرساخت ما را پیش از انتشار عمومی اینجا گزارش کنید؛ ظرف 3 روز کاری پاسخ می‌دهیم. سیاست افشای آسیب‌پذیری
- گزارش سوءاستفادهabuse@colitu.comهرزنامه، حمله یا اخطار حق نسخه‌برداری که از سرورهای Colitu می‌آید.
آخرین به‌روزرسانی: 10 اکتبر 2026