autoreg-skills-max: initial public release (restored, redacted, hardened)

skills/lobehub-pool/references/cloud-registration.md

@@ -0,0 +1,57 @@
+# LobeHub Cloud — Turnstile + Clerk Bypass
+
+## Cloudflare Turnstile
+
+- **Sitekey:** `0x4AAAAAACxm5ZI_WCU13SgI`
+- **Найден в:** `/_spa-auth/assets/index.auth-*.js` → переменная `vg`
+- **Страница:** https://app.lobehub.com/signup
+- **Реферал URL:** https://app.lobehub.com/signup?referral=fQXk8Gr5
+
+## Clerk Auth Flow
+
+LobeHub cloud использует Clerk для аутентификации.
+
+### Sign-Up Endpoint
+```
+POST https://app.lobehub.com/api/auth/sign-up/email?fp=<fingerprint>&referral=<code>
+Headers:
+  Origin: https://app.lobehub.com
+  Referer: https://app.lobehub.com/signup?referral=<code>
+  Content-Type: application/json
+  X-Captcha-Response: <turnstile_token>
+Body:
+  {"email": "...", "password": "...", "name": "..."}
+```
+
+### Sign-In Endpoint
+```
+POST https://app.lobehub.com/api/auth/sign-in/email
+Body: {"email": "...", "password": "..."}
+```
+Не требует капчи.
+
+## 2captcha — НЕ РАБОТАЕТ для Clerk
+
+Проблема: даже при успешном решении Turnstile через 2captcha (ключ `[REDACTED-KEY]`), Clerk реджектит токен с `CAPTCHA_FAILED`. Причина: Cloudflare валидирует IP/fingerprint — токен должен быть получен с того же IP что и запрос на регистрацию.
+
+### Статусы ответов:
+- `CAPTCHA_REQUIRED` — токен не передан (поле отсутствует или в body а не в заголовке)
+- `CAPTCHA_FAILED` — токен передан но не прошёл валидацию (IP mismatch)
+- `CAPTCHA_UNAVAILABLE` — Turnstile не загрузился
+
+## Cloudflare Block (датацентровый IP)
+
+При использовании MCP Playwright браузера с датацентрового IP:
+```
+[ERROR] Failed to load resource: 401
+https://challenges.cloudflare.com/cdn-cgi/challenge-platform/h/g/pat/...
+```
+Cloudflare блокирует Turnstile widget на датацентровых IP. Требуется residential IP или реальный браузер пользователя.
+
+## Альтернатива: Google OAuth
+
+Если есть Google аккаунт ([REDACTED-NAME]@gmail.com) — логин через OAuth без капчи. Но MCP браузер (headless) тоже блокируется Google.
+
+## Реферальная система
+
+Реферал `fQXk8Gr5` валиден (проверено через tRPC: `GET /trpc/lambda/referral.validateInviteCode`). Даёт 2M токенов при регистрации. Передаётся в URL параметром и сохраняется в `referralFingerprint` при sign-up.