autoreg-skills-max: initial public release (restored, redacted, hardened)

skills/ai-freebie-scanner/references/deep-research-fanout-verification.md

@@ -0,0 +1,51 @@
+# Deep Research: fan-out субагентов + verification ladder
+
+Плейбук для «сделай дип-рессерч, найди новые абузы/цели для авторега». Проверен на практике: 6 субагентов → ~40 кандидатов → верификация → отчёт + черновик поста.
+
+## Фаза 1 — Fan-out (delegate_task, все параллельно)
+
+Один субагент на источник. В context каждого: список УЖЕ ИЗВЕСТНЫХ сервисов (исключать), метод доступа, требование пруфов (URL/HTTP-статусы), ответ на русском.
+
+| # | Источник | Метод |
+|---|----------|-------|
+| 1 | nodeloc.com + v2ex | Discourse .json БЕЗ куки: `nodeloc.com/latest.json`, `/top.json?period=weekly`, v2ex `/api/topics/hot.json`. CN-ключи: 福利/免费/白嫖/薅羊毛. Перспективные треды читать целиком (тела топиков) |
+| 2 | GitHub search API | `api.github.com/search/repositories?q=new-api+free+created:>DATE`, `q=ai+relay+welfare`, `q=autoreg`. Без токена 10 req/мин. README доменов через raw.githubusercontent.com |
+| 3 | FMHY + paste-ленты | fmhy.net реальные страницы: `/ai` и `/developer-tools` (НЕ /ai-tools — 404), парсить через sitemap.xml. paster.sh/archive и rentry.co/discover — мёртвые источники (спам/одиночная паста) |
+| 4 | linux.do | только через `r.jina.ai/<url>` (latest.json, c/welfare/34.json, tag/api, tag/中转站), паузы 3-5с |
+| 5 | Локальная база | `tmp/forum_parser/output/findings.jsonl` (6000+ записей): python построчно, фильтр по ключам, группировка по домену, сортировка по scraped_at. Жирный источник — канал tg-jebusblack |
+| 6 | Reddit + web | web_search по 'free ai api credits MONTH YEAR'; reddit-треды через `api.pullpush.io/reddit/search/submission/?ids=<id>` |
+
+## Фаза 2 — Verification ladder (сам, execute_code/terminal)
+
+НЕ верить отчётам субагентов без своей проверки. Для каждого кандидата, одним батч-скриптом (urllib, ssl unverified, timeout 12-25с):
+
+1. **root GET** → 200 = сайт жив; CF-403 «Just a moment» = жив, но за Cloudflare (не мёртв!)
+2. **GET /v1/models без ключа** → 200 = модели публичны; 401 JSON = API живой и настоящий (хороший знак для реверса)
+3. **POST /v1/chat/completions без ключа** (`{"model":"<из шага 2>","messages":[{"role":"user","content":"say KEYLESS_OK"}],"max_tokens":20}`) → 200 = TIER 0 keyless. **models-200 НЕ означает keyless chat** — типичная картина: models открыты, chat 401 (нужен токен/рега). Всегда пробовать chat до объявления «бесплатно без ключа».
+4. **signup-probe** (POST на /api/account/signup или /api/auth/register с test-email): первый ответ 403 «That request didn't come from this site» = ОТСУТСТВУЮТ same-origin заголовки, а не блок. Повторить с `Origin: https://<host>`, `Referer: https://<host>/signup`, `Sec-Fetch-Site: same-origin`, `Sec-Fetch-Mode: cors` + cookie-jar (сначала GET страницы signup). Реальный статус появится после этого (напр. 503 «Accounts aren't set up» = фича не включена на деплое, мониторить).
+5. Нестандартные пути API: ошибка 404 часто содержит СПИСОК правильных роутов в JSON (classifier.dev вернул «POST /v1/classify, GET /{labels}/{text}») — читать тело ошибки, а не только код.
+
+Результаты сохранять в JSON (name/root/api) + REPORT.md с тирами.
+
+## Фаза 3 — Тиры и deliverable
+
+- **TIER 0**: keyless chat 200 — сразу в allkeys_gw/ротацию.
+- **TIER 1**: live signup + кредиты — очередь на E2E-авторег (реверс SPA: grep бандла на clerk/auth0/turnstile/recaptcha/supabase маркеры до выбора метода реги).
+- **TIER 2**: new-api панели (401 JSON) — волна GH-OAuth/reg-фарма по стандартному regfarm-пайплайну.
+- Финал: отчёт на диск + черновик поста в чат Влада (в канал ТОЛЬКО после явного «в канал» — мандат AlStack).
+
+## Мета-источники (репозитории-навигаторы, форкать/мониторить)
+
+- `wynx1123/ai-welfare-hub` — 44 домена + авто-探活 liveness-check
+- `minshurui/ai-api-gongyi-nav` — 45 доменов, 21实测可用
+- `Danjack85/xusuo-switch` — GH Actions каждые 3ч пробивает /api/status + /api/pricing всех станций (паттерн для нашего cron)
+- `nejib1/Free-LLM` (free-llm.com) — 45 провайдеров, daily auto-sync коммитов — подписать cron на diff
+- `Folkbench/folkbench` — бенчмарк+switcher relay-панелей
+- Серийные авторег-фермеры на GitHub (профили с 3+ autoreg-репо за месяц) — мониторить новые репо как готовые реверсы протоколов.
+
+## Pitfalls
+
+- Субагент пишет «сервис раздаёт X» — это заявление с форума, НЕ факт: половина «раздач» уже закрыта/лимитирована (рега «временно закрыта», купоны на 1000 слотов). Верифицировать root+api до включения в отчёт.
+- Discourse-треды с hide-блоками («скрыто лайком/trust-уровнем») — контент недоступен без аккаунта TL1+; помечать в отчёте как «нужен акк nodeloc», не выдумывать содержимое.
+- Один signup-тест НЕ маркировать номер/email как использованный до реальной реги — ложная метка сжигает ресурс (см. 2no-паттерн REUSE-FIRST).
+- SPA-сайты (Next.js/Vite) при grep стартовой HTML на auth-маркеры часто пусты — маркеры (clerk/turnstile) лежат в JS-бандлах, искать по ссылкам /assets/*.js.