Record who signs in, and how to reach them

Orbit is opening to the public, and two questions had no answer. When a
lawful request asks who published an unlawful post, the only handle we
had was a GitHub account — resolvable, but only through a US company.
And when a security incident needs disclosing, there was no way to reach
anyone at all.

Sign-in traces answer the first. Every human sign-in now records IP, ASN
and organization, country and time, written inside the same batch as the
login so the two cannot disagree. The scope is deliberately narrow: the
agent's API calls are not traced, because the address seen there belongs
to the datacenter the agent runs in, not to the person responsible for
it. Browsing is not traced either — only signing in with your own
browser. Every sign-in is recorded, not just registration, because
Cloudflare does not expose the client source port, so a single
observation behind CGNAT may not narrow to a subscriber and repetition
across networks is the only answer available. Using a VPN is recorded,
never blocked: blocking datacenter ranges would turn away iCloud Private
Relay and ordinary corporate networks while a residential proxy walks
straight through. Retention is one year, and cleanup enforces it.

user:email answers the second. GitHub's verified primary address is
stored, with a fallback to any verified address when the primary is
mid-verification — losing the only channel for a security notice is
worse than an imperfect choice. Unverified addresses are never stored:
writing to an unclaimed inbox means writing to a stranger. Neither is
the @users.noreply.github.com address that appears verified and primary
for privacy-enabled accounts — GitHub does not deliver there, so storing
it would leave us believing we can reach someone we cannot, while the
bounces degrade delivery to everyone we can.

The privacy notice moves with the code, and its claims are locked to
their sources: the scope, the traced columns, the one-year retention,
the promise that agent calls are not traced and VPNs are not blocked,
and the promise that the address is used for service notices only and
never for marketing. Reading the deletion path to write that notice also
turned up a sentence that was already false — records are soft-deleted,
so "the row is genuinely deleted" was wrong. It now says what the code
does: content leaves every surface, the record stays for legal answer.

The traces have no HTTP surface on purpose. An endpoint serving IP
addresses is a surface to leak them from; a lawful request is rare
enough to answer by hand.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Author: sametbasbug

migrations/0029_sign_in_traces_identify_the_human.sql

@@ -0,0 +1,52 @@
+-- Hesabı gerçek bir aboneye bağlayabilmek için giriş anlarının bağlantı izi.
+--
+-- Neden yalnız giriş anları: Orbit'te içeriği ajan yayımlıyor ve ajan bunu
+-- tarayıcıdan değil API'den yapıyor. Yayın anında görülecek IP, ajanın
+-- çalıştığı veri merkezinin IP'sidir — sorumlu insanın değil. İnsanın kendi
+-- bağlantısı yalnız panele girdiğinde görünüyor, o yüzden iz burada tutuluyor.
+-- Ajanların API istekleri bilerek kapsam dışı.
+--
+-- Neden her giriş, yalnız kayıt değil: CGNAT arkasındaki tek bir gözlem
+-- aboneyi daraltmaya yetmeyebilir ve Cloudflare bize kaynak portu vermiyor,
+-- yani operatörün kullanacağı IP+port+zaman üçlüsünü üretemiyoruz. Buna
+-- verilen cevap çokluk: aylar boyunca farklı ağlardan biriken gözlemlerin
+-- hepsinin CGNAT arkasından gelmesi düşük ihtimal.
+--
+-- asn ve asn_organization ücretsiz geliyor ve iki işe yarıyor: talebi doğru
+-- operatöre yönlendirmek, ve bir hesabın bütün girişlerinin VPN veya veri
+-- merkezi üzerinden geldiğini görmek. Bu tek başına bir suç değil, bir
+-- sinyal — VPN kullanımı engellenmiyor, yalnız kaydediliyor.
+--
+-- ip nullable, çünkü yerel ve test ortamında cf-connecting-ip yok. Girişin
+-- kendisi ize bağlı değil: iz alınamadığında da giriş çalışmalı.
+
+CREATE TABLE account_sign_in_events (
+  id TEXT PRIMARY KEY,
+  account_id TEXT NOT NULL REFERENCES accounts(id),
+  event_type TEXT NOT NULL CHECK (event_type IN ('registration', 'sign_in')),
+  ip TEXT,
+  asn INTEGER,
+  asn_organization TEXT,
+  country TEXT,
+  created_at INTEGER NOT NULL
+);
+
+-- Bir hesabın giriş geçmişini zaman sırasına göre okumak: hukuki talebin
+-- cevabı da, "bu hesap hep VPN'den mi giriyor" sorusunun cevabı da bu sorgu.
+CREATE INDEX account_sign_in_events_account_idx
+  ON account_sign_in_events (account_id, created_at DESC);
+
+-- Saklama süresi taraması bu indeksten yürüyor; olmazsa temizlik her gece
+-- tabloyu baştan sona okur.
+CREATE INDEX account_sign_in_events_retention_idx
+  ON account_sign_in_events (created_at);
+
+-- GitHub'ın doğruladığı birincil e-posta adresi. Yalnız hizmet bildirimi
+-- için: hesap, güvenlik, moderasyon, yasal bildirim ve platform duyurusu.
+-- Tanıtım ve pazarlama için kullanılmıyor — o ayrı bir rıza rejimi (İYS)
+-- ve bu sütun oraya kapı değil.
+--
+-- Nullable: kullanıcı izni vermezse veya GitHub doğrulanmış adres
+-- döndürmezse giriş yine de tamamlanmalı. Adres bir kolaylık, kimlik değil;
+-- kimliği taşıyan alan provider_user_id.
+ALTER TABLE auth_identities ADD COLUMN provider_email_snapshot TEXT;

scripts/orbit-site-tests.mjs

@@ -191,12 +191,63 @@ for (const [label, html] of [['Ana sayfa', homeHtml], ['Hakkında', fs.readFileS
 if (legalHtml.gizlilik) {
   const githubSource = fs.readFileSync(path.join(ROOT, 'src', 'server', 'identity', 'github.ts'), 'utf8');
   check(
-    githubSource.includes("url.searchParams.set('scope', 'read:user')"),
-    'GitHub izin kapsamı değişmiş. Gizlilik metni read:user diyor; kapsam genişlediyse metin artık doğru değil.',
+    githubSource.includes("url.searchParams.set('scope', 'read:user user:email')"),
+    'GitHub izin kapsamı değişmiş. Gizlilik metni read:user ve user:email sayıyor; kapsam değiştiyse metin artık doğru değil.',
+  );
+  for (const scope of ['read:user', 'user:email']) {
+    check(
+      legalHtml.gizlilik.includes(scope),
+      `Gizlilik metni ${scope} iznini saymıyor.`,
+    );
+  }
+  /* E-postanın ne için istendiği metinde yazılı olmalı ve orada kalmalı.
+   * "Madem adresler elimizde" diye başlayan cümle çok kolay kuruluyor;
+   * tanıtım göndermek İYS'ye tabi ayrı bir rıza rejimi ve oraya kazara
+   * girilmemeli. Kod tarafındaki karşılığı da göç dosyasında yazılı. */
+  check(
+    legalHtml.gizlilik.includes('yalnız hizmet bildirimi için kullanılır'),
+    'Gizlilik metni e-postanın ne için kullanıldığını söylemiyor.',
+  );
+  check(
+    legalHtml.gizlilik.includes('Tanıtım, pazarlama veya bülten gönderilmez'),
+    'Gizlilik metni tanıtım gönderilmeyeceği sözünü taşımıyor.',
+  );
+  /* Giriş izi: hangi alanların toplandığı, neyin toplanmadığı ve süresi.
+   * Üçü de metinde yazılı, üçü de kodda ölçülebilir. */
+  const signInMigration = fs.readFileSync(
+    path.join(ROOT, 'migrations', '0029_sign_in_traces_identify_the_human.sql'),
+    'utf8',
+  );
+  for (const column of ['ip', 'asn', 'asn_organization', 'country']) {
+    check(
+      new RegExp(`^\\s+${column}\\b`, 'mu').test(signInMigration),
+      `Giriş izi tablosunda ${column} alanı yok; gizlilik metni onu sayıyor.`,
+    );
+  }
+  check(
+    fs.readFileSync(path.join(ROOT, 'src', 'server', 'identity', 'constants.ts'), 'utf8')
+      .includes('SIGN_IN_EVENT_RETENTION_MS = 365 * 24 * 60 * 60 * 1000'),
+    'Giriş izinin saklama süresi değişmiş; gizlilik metni bir yıl diyor.',
+  );
+  check(
+    legalHtml.gizlilik.includes('<strong>bir yıl</strong>'),
+    'Gizlilik metni giriş izinin ne kadar saklandığını söylemiyor.',
+  );
+  /* Kapsamın darlığı ürünün sözü: ajanın API isteği kaydedilmiyor ve VPN
+   * engellenmiyor. İkisi de metinde yazılı olmalı, çünkü ikisi de
+   * kullanıcının bilmeye hakkı olduğu sınırlar. */
+  check(
+    legalHtml.gizlilik.includes('Ajanının API istekleri kaydedilmez'),
+    'Gizlilik metni ajanın isteklerinin kaydedilmediğini söylemiyor.',
+  );
+  check(
+    legalHtml.gizlilik.includes('VPN kullanmak <strong>engellenmez</strong>'),
+    'Gizlilik metni VPN kullanımının engellenmediğini söylemiyor.',
   );
   check(
-    legalHtml.gizlilik.includes('read:user'),
-    'Gizlilik metni GitHub izin kapsamını söylemiyor.',
+    fs.readFileSync(path.join(ROOT, 'src', 'server', 'identity', 'connection.ts'), 'utf8')
+      .includes("request.headers.get('cf-connecting-ip')"),
+    'Bağlantı izi IP kaynağını değiştirmiş; x-forwarded-for istemcinin uydurabileceği bir başlık.',
   );
   const identityConstants = fs.readFileSync(path.join(ROOT, 'src', 'server', 'identity', 'constants.ts'), 'utf8');
   for (const cookie of ['__Host-orbit_session', '__Host-orbit_csrf', '__Host-orbit_oauth']) {

scripts/orbit-slice1-test-worker.ts

@@ -30,12 +30,21 @@ const PROFILES = {
     login: 'sametbasbug',
     name: 'Samet Başbuğ',
     avatar_url: 'https://example.test/owner.png',
+    /* Birincil olmayan bir doğrulanmış adres de var: seçim "primary ve
+     * verified" olmalı, listedeki ilk doğrulanmış adres değil. */
+    emails: [
+      { email: 'ikincil@example.test', primary: false, verified: true },
+      { email: 'birincil@example.test', primary: true, verified: true },
+    ],
   },
   selene: {
     id: 200000001,
     login: 'selene-owner',
     name: 'Selene Owner',
     avatar_url: 'https://example.test/selene.png',
+    /* Doğrulanmamış adres saklanmamalı: doğrulanmamış bir kutuya bildirim
+     * göndermek, başkasının kutusuna yazmak riskini taşıyor. */
+    emails: [{ email: 'dogrulanmamis@example.test', primary: true, verified: false }],
   },
   mismatch: {
     id: 200000002,
@@ -59,6 +68,37 @@ const PROFILES = {
     name: 'Yeni Kullanıcı',
     avatar_url: 'https://example.test/rename.png',
   },
+  /* Giriş izi ve e-posta testlerinin kendi hesapları. Ayrı durmalarının
+   * sebebi, izleri sayan bir testin başka testlerin girişleriyle
+   * karışmaması: paylaşılan bir hesapta satır saymak kırılgan olurdu. */
+  traced: {
+    id: 200000004,
+    login: 'izli-kullanici',
+    name: 'İzli Kullanıcı',
+    avatar_url: null,
+    emails: [{ email: 'izli@example.test', primary: true, verified: true }],
+  },
+  tracedUnverified: {
+    id: 200000005,
+    login: 'dogrulanmamis-kullanici',
+    name: 'Doğrulanmamış Kullanıcı',
+    avatar_url: null,
+    emails: [{ email: 'olmaz@example.test', primary: true, verified: false }],
+  },
+  /* "E-posta adresimi gizli tut" açık olan kullanıcının hâli: noreply
+   * adresi hem birincil hem doğrulanmış görünüyor. GitHub o adrese posta
+   * teslim etmediği için atlanmalı ve gerçek doğrulanmış adrese
+   * düşülmeli. */
+  tracedNoreply: {
+    id: 200000006,
+    login: 'gizli-kullanici',
+    name: 'Gizli Kullanıcı',
+    avatar_url: null,
+    emails: [
+      { email: 'gizli-kullanici@users.noreply.github.com', primary: true, verified: true },
+      { email: 'gercek@example.test', primary: false, verified: true },
+    ],
+  },
 } as const;
 
 class MemoryR2 implements R2BucketLike {
@@ -136,6 +176,17 @@ async function mockGithubFetch(input: RequestInfo | URL, init?: RequestInit): Pr
     const profile = profileForToken(new Headers(init?.headers).get('authorization'));
     return profile ? Response.json(profile) : Response.json({ message: 'Bad credentials' }, { status: 401 });
   }
+  /* Doğrulanmış birincil adres yalnız burada; /user'ın email alanı
+   * kullanıcının herkese açık adresini döndürür ve çoğu kişide boştur.
+   * Adres tanımlanmamış profillerde uç 404 dönüyor — kullanıcının
+   * user:email iznini vermediği hâlin karşılığı bu. */
+  if (url.href === 'https://api.github.com/user/emails') {
+    const profile = profileForToken(new Headers(init?.headers).get('authorization')) as
+      { emails?: ReadonlyArray<{ email: string; primary: boolean; verified: boolean }> } | null;
+    if (!profile) return Response.json({ message: 'Bad credentials' }, { status: 401 });
+    if (!profile.emails) return Response.json({ message: 'Not Found' }, { status: 404 });
+    return Response.json(profile.emails);
+  }
   const loginMatch = /^\/users\/([^/]+)$/u.exec(url.pathname);
   if (url.origin === 'https://api.github.com' && loginMatch) {
     const login = decodeURIComponent(loginMatch[1]).toLowerCase();