autoreg-skills-max: initial public release (restored, redacted, hardened)

skills/ai-provider-autoreg/references/ranisikapi-rc40-fork-recon.md

@@ -0,0 +1,25 @@
+# ranisikapi.xyz — new-api rc.40 fork recon (13.10.2026)
+
+Всё в C:/Users/User/tmp/ranisik/ (FINDINGS.md — полный отчёт). Relay: api.ranisikapi.xyz.
+
+## Платформа
+new-api форк, version утекает в /api/status: v1.0.0-rc.40-ranisik-modelctx-20261012. Оплата Stripe + Creem (/api/creem/webhook). ~1020 юзеров. RU, «открытая бета — все модели бесплатно».
+
+## Авторег (тривиальный)
+POST /api/user/register {username,password} — БЕЗ email-верификации, БЕЗ turnstile, БЕЗ OAuth. 200 за <1с, лимита на реги с IP не замечено (3 подряд ок). Login: POST /api/user/login → JWT + new_api_refresh cookie (ротация, персистить!). Helper: ran_session.py (RanSession: login/api_key/call/quota/persist), банк ran_accounts.jsonl.
+API-ключ: POST /api/token/ {name,expired_time:-1,remain_quota,unlimited_quota:True,group} → POST /api/token/{id}/key.
+
+## Signup bonus (НЕ работает, но механика есть)
+Ответ register: signup_bonus_proof = b64url(JSON{v:1,uid,username,ip,iat,exp+600}).b64url(HMAC). Claim-эндпоинт НЕ найден (25+ путей 404), фронт его не использует, quota=0 навсегда. Вестигия форка или выключенный конфиг. WATCH: рега нового акка + проверка quota>0 (cron-кандидат).
+
+## Модели/биллинг
+20 моделей; gpt-5.6-terra + gpt-6-luna ratio=0 (free), НО quota-gate: insufficient_user_quota при $0 даже на ratio=0. quota_per_unit=500000=$1. Группы default+vip (в vip каналов нет).
+
+## Token-group bypass (минорный, живой)
+POST /api/token/ принимает group='vip' от default-юзера (200, ключ работает). ACL 403 «无权访问» только для НЕИЗВЕСТНЫХ групп (svip/admin). vip → distributor 503 (нет каналов) ДО quota-gate. Если админ заведёт канал в vip — любой юзер заберёт его через токен. Периодически ретестить: создать vip-токен → chat glm-5.3 → если не 503, профит.
+
+## Защита (что работает)
+login 429 после ~3 быстрых сессий, topup brute 429, quota-inject PUT игнорится (whitelist), setting-поля под вайтлистом, passkeys 403 secure-verification, state на oauth-bind. rc.40 = все публичные new-api CVE (71479/64865/41432/42339/32879/33655) запатчены.
+
+## Итог
+Бесплатных кредитов нет. Тулкит сохранён для ретеста (bonus-enable watch + vip-канал watch). Масс-рега возможна, но бессмысленна при quota=0.