autoreg-skills-max: initial public release (restored, redacted, hardened)

skills/th-autoreg/SKILL.md

@@ -0,0 +1,193 @@
+---
+name: th-autoreg
+description: TokenHarbor auto-registration via local API + VPS gateway push
+triggers:
+  - "авторег"
+  - "tokenharbor"
+  - "зарегай ключи"
+  - "th ключи"
+  - "регистрация tokenharbor"
+  - "tokenhabor"
+---
+# TokenHarbor Auto-Reg
+
+Авторегистрация TokenHarbor с $5 gift claim через Chrome CDP + пуш ключей на VPS-шлюз.
+**Два режима:** t-online.de пул (основной — с $5) и Gmail+alias (запасной — может быть заблокирован).
+
+## Быстрый старт: t-online.de пул (с $5, основной)
+
+**Правило:** пользователь сказал «авторег» / «забери $5» = запускай `th_tonline_claim.py`. Пул t-online.de принимает письма TokenHarbor (вопреки раннему ошибочному выводу — проверка на 20+ аккаунтах показала, что письма доходят).
+
+```bash
+# 1. Chrome с CDP
+taskkill /F /IM chrome.exe 2>/dev/null
+start "" "C:\Program Files\Google\Chrome\Application\chrome.exe" \
+  --remote-debugging-port=9222 --remote-allow-origins=* \
+  --user-data-dir=%USERPROFILE%/.chrome-cdp-profile
+
+# 2. Ждать 5 сек, проверить
+sleep 5 && curl -s http://127.0.0.1:9222/json/version
+
+# 3. Запустить (N аккаунтов, фоновый режим)
+cd "C:/Users/User/Desktop/авторег проект" && python -u th_tonline_claim.py 100 &
+```
+
+## Быстрый старт: Gmail+alias (запасной, может быть заблокирован)
+
+Использовать `th_gmail_reg.py`. Внимание: TokenHarbor может заблокировать Gmail+alias после первого аккаунта (письма перестают приходить на `[REDACTED-NAME]+th{N}@gmail.com`).
+
+```bash
+cd "C:/Users/User/Desktop/авторег проект" && python -u th_gmail_reg.py 100 &
+```
+
+## t-online.de архитектура (основной режим)
+
+IMAP: `secureimap.t-online.de:993`, пароли из `working_mails.txt` (формат `email:password`).
+Пул: 17893 аккаунтов. Каждый имеет индивидуальный пароль для IMAP.
+
+Каждый аккаунт проходит полный цикл:
+1. **Login** на TokenHarbor с `email` + `TokenHarbor2026!X` (общий пароль на сайте)
+2. **Проверка верификации**: если на дашборде есть «Verify your email» — клик по кнопке → отправка НОВОГО письма
+3. **IMAP-ожидание**: baseline-based поиск (только новые UID, не перебор старых) → ждать verify-ссылку до 60 сек
+4. **Верификация**: переход по `https://tokenharbor.ai/verify-email?token=...`
+5. **$5 claim**: Dashboard → кнопка «1 gift ready to claim» → модалка → «Claim»
+6. **API ключ**: `/dashboard/api-keys` → «+ New key» → заполнить label → «Create key»
+7. **Пуш на VPS** через `POST /th/provider/add?provider=tokenharbor`
+
+Если аккаунт уже верифицирован (нет текста «Verify your email» на дашборде) — шаги 2-4 пропускаются.
+
+## Gmail+alias архитектура (запасной режим)
+
+Gmail: `[REDACTED-NAME]@gmail.com` / `IMAP_APP_PASSWORD`
+Алиасы: `[REDACTED-NAME]+th{N}@gmail.com` — все письма падают в один inbox.
+IMAP: `imap.gmail.com:993`, поиск по `TO "[REDACTED-NAME]+th{N}@gmail.com"`.
+
+Каждый аккаунт проходит полный цикл:
+1. Signup на TokenHarbor с `[REDACTED-NAME]+th{N}@gmail.com`
+2. Ожидание verify-письма через Gmail IMAP (поиск по `TO`)
+3. Переход по verify-ссылке → email verified
+4. Dashboard → кнопка «1 gift ready to claim» → модалка → «Claim» → $5 на балансе
+5. `/dashboard/api-keys` → «+ New key» → заполнить label → «Create key»
+6. API ключ → пуш на VPS через `/provider/add`
+
+## th_local_api.py Endpoints (t-online.de режим)
+
+| Метод | Путь | Описание |
+|-------|------|----------|
+| POST | `/register?count=N&push=true` | Регистрация N аккаунтов |
+| GET | `/status` | Статистика пула и ключей |
+| GET | `/keys` | Список всех ключей |
+| POST | `/push-all` | Пуш всех неотправленных ключей на VPS |
+| POST | `/check-all-balances` | Проверка всех балансов |
+
+## VPS Gateway
+
+IP: [REDACTED-IP], root, пароль: `dYqjygDyTtZ68Y59`
+URL: `https://[REDACTED-NAME].loc.cc/th/`
+Gateway key: `thgw_YOUR_GATEWAY_KEY`
+Сервис: `systemctl restart th-gateway`, код: `/opt/th_gateway/th_gateway.py`, стейт: `/opt/th_gateway/th_gateway_state.json`
+
+Эндпоинты для управления ключами (добавлены патчем):
+- `POST /provider/add?provider=X` — добавить ключ (body: `{"key":"thk_..."}`)
+- `POST /provider/remove?provider=X` — удалить ключ (body: `{"key":"thk_..."}`)
+
+Ключи в state.json хранятся как **строки** (не dict'ы): `"keys": ["thk_live_xxx", "thk_live_yyy"]`.
+
+## Формат ключа
+`thk_live_` + 64 символов `[a-zA-Z0-9_-]`.
+
+## HTTP-only масс-волна (th_eu_farm.py, без браузера)
+
+Альтернативный CDP-флоу: чистый HTTP через `tools.tokenharbor.client.TokenHarborClient` (sys.path `C:/Users/User/tmp/harbor_check`). Скрипты в `C:/Users/User/tmp/`: `th_eu_farm.py` (волна), `th_do_recover.py` (спасение зависших), файлы `th_http_accounts.jsonl` (банк), `th_pending_recover.jsonl` (pre-verify persistence), `th_eu_used.txt` (использованные почты).
+
+Цикл: прокси-пул (ProxyGrab API + geonode + proxy_bot `Desktop/proxy_bot/proxies.db` alive=1) → `check_proxy` (ip-api geo + GET tokenharbor.ai/login?mode=signup через прокси) → 2captcha turnstile (SITEKEY `0x4AAAAAADBuC8Knz1EJZx9-`, pageurl signup) → signup → **persist в th_pending_recover.jsonl ДО verify** → IMAP verify-ссылка → verify → login → `create_api_key('eu')` → `enable_free_models()` → append в th_http_accounts.jsonl.
+
+**Пуш ключа в шлюз api.[REDACTED-NAME].com (new-api):** INSERT в channels БЕЗ UI не создаёт abilities — вставлять и channel, и abilities-строки на каждую модель вручную, `PRAGMA busy_timeout=25000`, затем `systemctl restart new-api`. `base_url` пустой = дефолтный openai-роутинг, канал мёртв. Текущая подача TH: `base_url='http://127.0.0.1:8790'` (th-shim на VPS — direct-first + прокси-пул + home-туннель, лечит TH per-IP 429); прямой `https://tokenharbor.ai` — только если шим снят с эксплуатации. Детали: skill ai-api-gateway-operations → `references/newapi-channel-operations.md`; шим/автопуш-контур: `references/wave-farm-scaling-and-autopush.md`.
+
+**CRITICAL — HTTP-акки рождаются с балансом $0** ($5 клеймит только CDP-claim флоу). На таком ключе платный `claude-haiku-5.5` = 402 `insufficient_user_quota`, а **`claude-haiku-5.5:free` отвечает 200** — но только после `enable_free_models()` (без него 404 model not found — это НЕ протухший ключ). Канал в шлюзе обязан нести `models='claude-haiku-5.5'` + `model_mapping='{"claude-haiku-5.5":"claude-haiku-5.5:free"}'`: люди запрашивают оригинальное имя, апстрим получает :free. Прямой smoke ключа без :free/маппинга даст ложный вердикт «ключ дохлый».
+
+### Pitfalls масс-волны
+
+- **IMAP SEARCH ALL падает на больших ящиках** (18k+ писем) с «unterminated line» — искать по `SUBJECT "Token Harbor"` или UNSEEN с ограничением диапазона, не ALL.
+- **recovery-файл нужно чистить после успешного прогона** — иначе следующий запуск th_do_recover повторно обрабатывает те же акки: дубли в банке, дубли ключей, дубли каналов в шлюзе.
+- **Параллельные волны ОБЯЗАНЫ разводить почты**: чанк-файлы из глобального free-листа (все used-реестры + банк + pending вычесть, разделить на N) или непересекающиеся offset-срезы + отдельные used-файлы на волну. Общий used-файл гонку не лечит — обе волны берут одну почту одновременно.
+- **Прокси-пул волн читать с `ORDER BY RANDOM()`** — статический `LIMIT` сажает все волны на один верх пула (один exit-IP → TH-бан сети, волны почти не дают SIGNUP OK).
+- **Сигнатуры TH-троттлинга:** «Too many sign-ups from this network» = бан IP (банить прокси, ротить); «You're doing that a bit fast — take a breath» = глобальный rate-limit (пэйсинг 40-70с между сайнапами); «email is already on board» = почта уже зарегистрирована (скип, не бан IP).
+- **TH режет free-аккаунты по сетевому адресу и для CHAT** («Rate limit reached: many free accounts are sharing this network address»): DC-IP сервера не годится для подачи free-ключей никогда, home-IP сжигается recovery-логинами/сайнапами, free-прокси проходят GET /models но не chat POST. Serving-выходы и signup-выходы разводить; health-чек прокси — только реальным chat POST; paid-резидентки со свежей сессией на запрос — единственный стабильный выход. Полная диагностика ног шима и таймауты: references/wave-farm-scaling-and-autopush.md §5.
+- **Прокси с разными портами одного хоста = один exit-IP** (видно по ip-api в check_proxy) — не считать их разными прокси, TH-лимит на сеть срежет после 1-2 акков.
+- **Фри-прокси кончились (цикл «no good proxies - sleep 300») → фолбэк 1024proxy DE-резидентки**: `http://prxg746509-region-de-sess{N}:{PASS}@hk.1024proxy.io:3000`, где N = случайное число на КАЖДЫЙ сайнап (новый sess-номер = новый немецкий exit-IP). Пароль лежит в `tmp/notion_autoreg/dbg_chat.py` (не хардкодить в новые файлы). Проверено на TH: signup-страница 200, SIGNUP OK с первого захода. Паттерн отдельной волны: скопировать farm-скрипт, заменить `gather_proxies()` на генератор пачки свежих сессий (24 шт за вызов), свой mail-offset и свой used-файл. Трафик на сайнап ~1-2MB — 2GB баланса хватает на сотни регистраций.
+- **Зомби-процессы волн накапливаются между рестартами агента** — перед запуском новой волны убивать ВСЕ старые по cmdline-матчу `th_eu_farm` (psutil), иначе две волны жгут почты с одного IP.
+- **Фоновый старт может зависнуть на инициализации** (процесс alive, CPU ~0, 0 соединений, лог не растёт >5мин) — kill и повторный запуск лечит; перед запуском проверять лог на появление первых строк.
+- **verify/login через прокси хрупки**: при смерти прокси на этапе verify — retry через `TokenHarborClient(proxy=None)` (прямое соединение); аккаунт к этому моменту уже должен лежать в pending-файле.
+- Ключи для шлюза валидировать живым chat-запросом (`/v1/chat/completions` через https://tokenharbor.ai/api/v1/...), не только фактом выдачи.
+- **Канал вставлять с tag/priority/weight существующей TH-группы** (сверять `SELECT DISTINCT tag,priority,weight FROM channels WHERE models LIKE '%claude-haiku-5.5%' AND status=1`): new-api роутит по priority — канал с меньшим priority трафика не получит, smoke через шлюз будет зелёный за счёт СТАРЫХ каналов (ложное «добавили и работает»). Фактический роутинг подтверждать распределением channel_id в consume-логе new-api после пачки запросов.
+
+## Критические pitfall'ы
+
+### 0. $5 gift требует email-верификации
+Без подтверждения email кнопка Claim в модалке показывает: «We just emailed you a verification link — open it to verify your email, then claim your $5». API `/api/welcome/claim` возвращает `403 email_not_verified`. **Вывод: без verify-письма $5 не забрать.**
+
+### 1. Gmail+alias блокируется TokenHarbor после первого аккаунта
+При регистрации через `[REDACTED-NAME]+th{N}@gmail.com` письма верификации приходят только на первый аккаунт. После этого TokenHarbor перестаёт отправлять письма на alias'ы того же Gmail. **Использовать t-online.de пул как основной.**
+
+### 1b. t-online.de ПРИНИМАЕТ письма TokenHarbor (коррекция)
+Ранее ошибочно считалось, что t-online.de не принимает письма. Проверка на 20+ аккаунтах показала: ~15% имеют verification emails в inbox. Для остальных — клик «Verify email» на дашборде отправляет новое письмо, которое доходит за 10-30 сек.
+
+### 2. Chrome 151+ — `--remote-allow-origins=*` ОБЯЗАТЕЛЕН
+WebSocket к CDP блокируется с `403 Forbidden`. Всегда: `chrome.exe --remote-debugging-port=9222 --remote-allow-origins=* --user-data-dir=%USERPROFILE%/.chrome-cdp-profile`.
+
+### 3. React-инпуты — nativeSet ОБЯЗАТЕЛЕН
+TokenHarbor на React. `input.value = 'x'` не работает. Нужно:
+```javascript
+var nativeSet = Object.getOwnPropertyDescriptor(window.HTMLInputElement.prototype, 'value').set;
+nativeSet.call(inp, 'value');
+inp.dispatchEvent(new Event('input', {bubbles: true}));
+inp.dispatchEvent(new Event('change', {bubbles: true}));
+```
+
+### 4. API keys page — ТОЛЬКО Page.navigate, НЕ window.location.href
+Next.js client-side роутинг не срабатывает через `window.location.href = '/dashboard/api-keys'` — страница остаётся в состоянии LOADING. Использовать CDP `Page.navigate`:
+```python
+cdp["ws"].send(json.dumps({"id": mid, "method": "Page.navigate",
+    "params": {"url": "https://tokenharbor.ai/dashboard/api-keys"}}))
+time.sleep(8)  # ждать полной загрузки
+```
+Ждать пока `"API keys" in text and "LOADING" not in text and "Create and manage" in text`.
+
+### 5. Кнопки — проверять offsetParent (видимость)
+На странице API keys много скрытых кнопок (от других rows). Всегда:
+```javascript
+if(b.textContent.trim() === 'Create key' && !b.disabled && b.offsetParent !== null)
+```
+
+### 6. Вкладки Chrome — всегда новые
+Не переиспользовать залогиненные вкладки. `connect_cdp()` создаёт новую через `PUT /json/new`.
+
+### 7. Gift claim — двухшаговый
+Сначала клик по кнопке в хедере («1 gift ready to claim») — открывает модалку. Затем клик по «Claim» внутри модалки. Между шагами `time.sleep(2)`.
+
+### 8. Rate-limit при массовой регистрации
+При быстрой регистрации (>1 акк/мин) TokenHarbor начинает реджектить signup (редирект обратно на `/login?mode=signup`). Добавлять `time.sleep(2)` между регистрациями. При массовых фейлах — увеличить паузу до 5-10 сек.
+
+### 9. «Verify email» кнопка — отправка нового письма
+Если аккаунт не верифицирован, на дашборде есть кнопка «Verify your email». Клик по ней отправляет **новое** verification-письмо (не надо искать старое). Затем IMAP-ожидание с baseline-based поиском (только новые UID, не перебор всей почты). Таймаут ожидания: 60 сек.
+
+### 10. API key creation — ~7-8% failure rate
+Иногда кнопка «Create key» не активируется или ключ не появляется на странице. Это нормально — скрипт продолжает со следующим аккаунтом. Причина не в React-инпутах (nativeSet работает), а в race condition Next.js.
+
+## Файлы проекта
+- `th_tonline_claim.py` — **основной** скрипт: t-online.de пул, login → verify → $5 → API key → пуш
+- `th_gmail_reg.py` — запасной скрипт: Gmail+alias (может быть заблокирован)
+- `th_local_api.py` — HTTP API для t-online.de пула (legacy, без $5)
+- `th_tonline_state.json` — состояние t-online обработки (done, fail)
+- `th_gmail_state.json` — состояние Gmail-регистраций
+- `tokenharbor_keys.txt` — лог всех ключей
+- `C:/Users/User/Downloads/Telegram Desktop/working_mails.txt` — пул t-online.de (17893 шт)
+
+## Связанные references
+- `references/wave-farm-scaling-and-autopush.md` — масштабирование до N волн (чанк-сплит почт, рандом proxies, зомби-дедуп), recovery-одноразовость, th-shim (:8790, content-encoding HOP-strip, gzip-ловушка мелких смоков, breaker, cron-пересборка пула 2ч chat-пробой), cron-автопуш ключей в шлюз каждые 15 мин, reuse почтовых пулов мёртвых волн, smoke-дисциплина ('Bea'+'rer ')
+- `references/react-input-fix.md` — полный код React-совместимого ввода в CDP
+- `references/chrome-cdp-launch.md` — процедура запуска Chrome с CDP (Chrome 151+)
+- `references/gateway-endpoints.md` — документированные эндпоинты VPS шлюза
+- `references/gmail-alias-flow.md` — полный цикл Gmail+alias: signup → verify → $5 → API key
+- `references/tonline-claim-flow.md` — t-online.de поток: baseline IMAP, кнопка Verify, $5 claim, статистика

skills/th-autoreg/references/chrome-cdp-launch.md

@@ -0,0 +1,71 @@
+# Chrome CDP Launch Procedure
+
+## Chrome 151+ Breaking Change
+
+Chrome 151+ requires `--remote-allow-origins=*` for WebSocket connections to CDP.
+Without it: `Handshake status 403 Forbidden - Rejected an incoming WebSocket connection`.
+
+## Full Launch Command (Windows)
+
+```bash
+# Kill existing Chrome instances
+taskkill /F /IM chrome.exe 2>/dev/null
+
+# Launch with CDP enabled
+"C:\Program Files\Google\Chrome\Application\chrome.exe" \
+  --remote-debugging-port=9222 \
+  --remote-allow-origins=* \
+  --user-data-dir=%USERPROFILE%/.chrome-cdp-profile \
+  --no-first-run \
+  --no-default-browser-check
+```
+
+## Verify CDP is alive
+
+```bash
+curl -s http://127.0.0.1:9222/json/version
+# Expected: {"Browser": "Chrome/151.0.7922.109", ...}
+```
+
+## Python: kill + launch
+
+```python
+import subprocess, time, os
+
+subprocess.run(['taskkill', '/F', '/IM', 'chrome.exe'], capture_output=True)
+time.sleep(2)
+
+user_data = os.path.expanduser("~/.chrome-cdp-profile")
+os.makedirs(user_data, exist_ok=True)
+
+subprocess.Popen([
+    r"C:\Program Files\Google\Chrome\Application\chrome.exe",
+    f'--user-data-dir={user_data}',
+    '--remote-debugging-port=9222',
+    '--remote-allow-origins=*',
+    '--no-first-run',
+    '--no-default-browser-check',
+], stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL)
+```
+
+## Python: health check
+
+```python
+import urllib.request, json
+
+try:
+    resp = urllib.request.urlopen("http://127.0.0.1:9222/json/version", timeout=3)
+    data = json.loads(resp.read())
+    print(f"CDP OK: {data.get('Browser', 'unknown')}")
+except Exception as e:
+    print(f"CDP DEAD: {e}")
+```
+
+## Common Errors
+
+| Error | Cause | Fix |
+|-------|-------|-----|
+| `403 Forbidden` on WebSocket | Chrome 151+ without `--remote-allow-origins` | Add `--remote-allow-origins=*` |
+| `Connection refused` on :9222 | Chrome not launched with `--remote-debugging-port` | Kill all Chrome, relaunch with flag |
+| `user-data-dir is already in use` | Another Chrome instance using same profile | Use unique `--user-data-dir` path |
+| `taskkill` not finding Chrome | Chrome running as background process | Check with `tasklist /FI "IMAGENAME eq chrome.exe"` |

skills/th-autoreg/references/gateway-endpoints.md

@@ -0,0 +1,81 @@
+# VPS Gateway Endpoints (th-gateway v2.2)
+
+Базовый URL: `https://[REDACTED-NAME].loc.cc/th/`
+Gateway key: `thgw_YOUR_GATEWAY_KEY`
+VPS: [REDACTED-IP], root, пароль: `dYqjygDyTtZ68Y59`
+Код: `/opt/th_gateway/th_gateway.py`, стейт: `/opt/th_gateway/th_gateway_state.json`
+Сервис: `systemctl restart th-gateway`
+
+## Все эндпоинты (v2.2)
+
+| Метод | Путь | Описание |
+|-------|------|----------|
+| GET | `/` | Список всех эндпоинтов |
+| GET | `/status` | Статус регистрации + провайдеры |
+| GET | `/providers` | Список провайдеров |
+| GET | `/keys` | Все ключи (auth required) |
+| GET | `/key?provider=X` | Случайный рабочий ключ (ротация, auth) |
+| GET | `/models?provider=X` | Список моделей провайдера (auth) |
+| POST | `/register?count=N` | Запуск регистрации (не работает на VPS — нет CDP) |
+| POST | `/chat?provider=X` | Прокси chat completion (streaming) |
+| POST | `/embeddings?provider=X` | Прокси embeddings |
+| POST | `/images/generations?provider=X` | Прокси image generation |
+| POST | `/provider/add?provider=X` | Добавить ключ (auth): `{"key":"thk_..."}` |
+| POST | `/provider/remove?provider=X` | Удалить ключ (auth): `{"key":"thk_..."}` |
+
+Auth: `Authorization: Bearer [REDACTED-KEY]`
+
+## Провайдеры в state.json
+
+**Важно:** ключи хранятся как **строки** (не dict'ы!):
+```json
+{
+  "providers": {
+    "shoot": {
+      "base_url": "https://sh00t.host/v1",
+      "keys": ["sk_p7VBxBRbetN5jFkDtlR5BGe7pTdcuj6NYhsxztJa4JO1vlty"],
+      "models": ["gpt-5.6-sol", "gpt-5.6-luna", ...]
+    },
+    "tokenharbor": {
+      "base_url": "https://tokenharbor.ai/v1",
+      "keys": ["thk_live_xxx", "thk_live_yyy"],
+      "models": 21
+    }
+  }
+}
+```
+
+При патче `/provider/add` проверять на дубликат: `if api_key in keys`.
+
+## Добавление ключа
+
+```bash
+curl -X POST "https://[REDACTED-NAME].loc.cc/th/provider/add?provider=tokenharbor" \
+  -H "Content-Type: application/json" \
+  -H "Authorization: Bearer [REDACTED-KEY]" \
+  -d '{"key":"thk_live_..."}'
+```
+
+## Удаление ключа
+
+```bash
+curl -X POST "https://[REDACTED-NAME].loc.cc/th/provider/remove?provider=tokenharbor" \
+  -H "Content-Type: application/json" \
+  -H "Authorization: Bearer [REDACTED-KEY]" \
+  -d '{"key":"thk_live_..."}'
+```
+
+## Проверка баланса ключа TokenHarbor
+
+```bash
+curl -s https://tokenharbor.ai/v1/models \
+  -H "Authorization: Bearer thk_live_..."
+# 200 = жив, 401 = invalid, 402 = no balance
+```
+
+## Sh00t
+
+Ключ: `sk_p7VBxBRbetN5jFkDtlR5BGe7pTdcuj6NYhsxztJa4JO1vlty`
+Endpoint: `https://sh00t.host/v1`
+13 моделей: gpt-5.6-sol, gpt-5.6-luna, gpt-5.6-terra, gpt-5.6, claude-opus-4-8, claude-sonnet-5, claude-opus-5, claude-fable-5, kimi-k3, glm-5.2, gemini-3-pro-image, gemini-3.1-flash-image, gemini-3.1-flash-lite-image.
+Без префикса `cx/`.

skills/th-autoreg/references/gmail-alias-flow.md

@@ -0,0 +1,93 @@
+# Gmail+alias TokenHarbor Flow
+
+Полный цикл регистрации TokenHarbor через Gmail +alias с $5 gift claim.
+
+## Почему Gmail, не t-online.de
+
+t-online.de блокирует письма от tokenharbor.ai на уровне сервера — ни inbox, ни spam.
+Проверено на 10+ аккаунтах 2026-08-09. Gmail принимает мгновенно.
+
+## Gmail аккаунт
+
+- Email: `[REDACTED-NAME]@gmail.com`
+- App password: [REDACTED]
+- IMAP: `imap.gmail.com:993`, SSL
+- Алиасы: `[REDACTED-NAME]+th{N}@gmail.com` — без настройки, работает из коробки
+
+## Поиск verify-письма
+
+```python
+mail.search(None, f'TO "[REDACTED-NAME]+th{id}@gmail.com"')
+```
+
+Письмо от TokenHarbor с subject: "Verify your email to start using the Token Harbor API".
+Ссылка в теле: `https://tokenharbor.ai/verify-email?token=...`
+
+## Полный цикл (90 сек на аккаунт)
+
+### 1. Signup (15 сек)
+```
+Page.navigate → https://tokenharbor.ai/login?mode=signup
+Заполнить email + password через nativeSet
+Клик "Create account"
+Ждать редиректа на /dashboard
+```
+
+### 2. Email verification (10-30 сек)
+```
+Gmail IMAP: поиск verify-письма по TO "[REDACTED-NAME]+th{N}@gmail.com"
+Извлечь https://tokenharbor.ai/verify-email?token=...
+Page.navigate → verify link
+Ждать редиректа verify=success или /dashboard
+```
+
+### 3. $5 Gift claim (10 сек)
+```
+Page.navigate → /dashboard
+Клик: button с текстом "gift" + "ready" (в хедере, "1 gift ready to claim")
+Ждать модалку (2 сек)
+Клик: button с текстом.trim() === "Claim" (внутри модалки)
+Ждать подтверждения (3 сек)
+```
+
+### 4. API key creation (20 сек)
+```
+Page.navigate → https://tokenharbor.ai/dashboard/api-keys
+Ждать загрузки: "API keys" in text AND "LOADING" not in text AND "Create and manage" in text
+Клик: button с "New key" И offsetParent !== null
+Ждать форму (3 сек)
+Заполнить label через nativeSet (visible input: offsetParent !== null)
+Клик: button с text === "Create key" И !disabled И offsetParent !== null
+Ждать появления ключа (5 сек)
+Извлечь thk_live_... из document.body.innerText
+```
+
+### 5. Push to VPS (2 сек)
+```
+POST https://[REDACTED-NAME].loc.cc/th/provider/add?provider=tokenharbor
+Authorization: Bearer [REDACTED-KEY]
+Body: {"key": "thk_live_..."}
+```
+
+## Rate limiting
+
+При регистрации быстрее 1 акк/мин TokenHarbor начинает реджектить signup.
+Симптом: после клика "Create account" URL остаётся `/login?mode=signup`.
+Решение: `time.sleep(2)` между регистрациями. При массовых фейлах — 5-10 сек.
+
+## Проверка баланса
+
+```python
+GET https://tokenharbor.ai/v1/models
+Authorization: Bearer thk_live_...
+```
+200 = ключ работает (баланс > 0 или есть $5). 401 = invalid. 402 = no balance.
+
+Нет публичного API для проверки точного баланса — только через dashboard.
+
+## Питфолы Gmail IMAP
+
+- Gmail требует app password (не основной пароль)
+- `imaplib.IMAP4_SSL("imap.gmail.com", 993)` — стандартный порт
+- Поиск по `TO` работает с полным адресом включая `+alias`
+- При частых запросах Gmail может темпорарно блокировать — добавить задержки

skills/th-autoreg/references/react-input-fix.md

@@ -0,0 +1,56 @@
+# React Input Fix for CDP (Chrome DevTools Protocol)
+
+TokenHarbor (и многие другие React-приложения) не реагируют на прямое присваивание `input.value = 'x'`.
+React отслеживает изменения через свой дескриптор свойства `value` на `HTMLInputElement.prototype`.
+
+## Рабочий паттерн
+
+```javascript
+var nativeSet = Object.getOwnPropertyDescriptor(window.HTMLInputElement.prototype, 'value').set;
+var inp = document.querySelector('input[type="email"]');
+if (inp) {
+    nativeSet.call(inp, 'user@email.com');
+    inp.dispatchEvent(new Event('input', {bubbles: true}));
+}
+```
+
+## В Python-коде (через CDP WebSocket)
+
+```python
+def js(cdp, code, timeout=15):
+    cdp["id"] = cdp.get("id", 0) + 1
+    mid = cdp["id"]
+    cdp["ws"].send(json.dumps({
+        "id": mid,
+        "method": "Runtime.evaluate",
+        "params": {
+            "expression": code,
+            "returnByValue": True,
+            "awaitPromise": True
+        }
+    }))
+    # ... receive response ...
+
+# Использование для заполнения email:
+js(cdp, f"""
+    var nativeSet = Object.getOwnPropertyDescriptor(
+        window.HTMLInputElement.prototype, 'value'
+    ).set;
+    var e = document.querySelector('input[type="email"]');
+    if (e) {{
+        nativeSet.call(e, '{email}');
+        e.dispatchEvent(new Event('input', {{bubbles: true}}));
+    }}
+""")
+```
+
+## Признаки что React НЕ принял ввод
+- Кнопка "Create key" / "Submit" остаётся disabled
+- Поле визуально заполнено, но форма считает его пустым
+- `document.querySelector('input').value` возвращает правильное значение, но React-стейт не обновлён
+
+## Альтернативы (если nativeSet не помог)
+1. `inp._valueTracker.setValue('value')` — внутренний API React
+2. `inp.dispatchEvent(new Event('change', {bubbles: true}))` — дополнительно к input
+3. `inp.focus(); document.execCommand('insertText', false, 'value')` — через selection API
+4. Использовать `Input.dispatchKeyEvent` через CDP для посимвольного ввода

skills/th-autoreg/references/tonline-claim-flow.md

@@ -0,0 +1,66 @@
+# t-online.de Claim Flow — детали реализации
+
+## IMAP: baseline-based поиск новых писем
+
+Проблема: старый подход искал verification-письма по `FROM "tokenharbor"`, но не находил их, если письмо уже прочитано или ушло в архив.
+
+Решение: **baseline-based** — запоминаем текущие UID до клика «Verify email», затем ждём только новые UID.
+
+```python
+# Get baseline UIDs
+status, baseline = mail.search(None, 'ALL')
+known_ids = set(baseline[0].split()) if baseline[0] else set()
+
+# Wait for new emails
+while time.time() - start < timeout:
+    mail.select("INBOX")
+    status, data = mail.search(None, 'ALL')
+    new_ids = set(data[0].split()) - known_ids
+    for mid in sorted(new_ids, reverse=True):
+        # parse email, check for verify link
+```
+
+## «Verify email» кнопка — отправка нового письма
+
+На дашборде TokenHarbor, если аккаунт не верифицирован, есть текст «Verify your email» и кнопка. Клик по ней отправляет новое verification-письмо.
+
+```javascript
+for(var b of document.querySelectorAll('button')) {
+    if((b.textContent.includes('Verify') && b.textContent.includes('email')) && b.offsetParent !== null) {
+        b.click(); break;
+    }
+}
+```
+
+## $5 Gift Claim — двухшаговый
+
+1. Клик по кнопке в хедере дашборда: «1 gift ready to claim» → открывает модалку
+2. Клик по «Claim» внутри модалки
+
+```javascript
+// Step 1: open modal
+for(var b of document.querySelectorAll('button')) {
+    if((b.textContent.includes('Claim') || b.textContent.includes('Gift')) && b.offsetParent !== null) {
+        b.click(); break;
+    }
+}
+// Step 2: claim in modal
+for(var b of document.querySelectorAll('button')) {
+    if(b.textContent.trim() === 'Claim' && b.offsetParent !== null) {
+        b.click(); break;
+    }
+}
+```
+
+## Статистика успешности
+
+- ~85% аккаунтов уже верифицированы (из предыдущего раунда регистрации)
+- ~15% требуют отправки нового verification-письма
+- ~7-8% фейлов на этапе создания API ключа (race condition Next.js)
+- Общая скорость: ~1 акк/мин (логин → verify → $5 → ключ → пуш)
+
+## Пароли
+
+- **TokenHarbor сайт**: `TokenHarbor2026!X` (единый для всех аккаунтов)
+- **IMAP t-online.de**: индивидуальные пароли из `working_mails.txt` (формат `email:password`)
+- Некоторые пароли в пуле устарели (~5-10%) — скрипт пропускает их с ошибкой «Invalid login»

skills/th-autoreg/references/wave-farm-scaling-and-autopush.md

@@ -0,0 +1,60 @@
+# TH Wave-Farm: Multi-Wave Scaling, th-shim Serving, Auto-Push Cron
+
+Проверенный контур массового фарма TokenHarbor (сотни акков/день) и автопополнения шлюза api.[REDACTED-NAME].com без ручных пушей.
+
+## 1. Много волн: chunk-split почт вместо offset-срезов
+
+Offset-срезы одного working_mails.txt ломаются при >3 волнах (диапазоны пересекаются после перезапусков). Надёжная схема — дизджойнтные чанк-файлы:
+
+1. Собрать глобальный used-набор: `th_used_emails_all.json` ∪ все `th_eu_used*.txt` ∪ email'ы из `th_http_accounts.jsonl` и `th_pending_recover.jsonl`.
+2. Вычесть used из полного пула почт → free-лист, разделить на N равных чанков → `th_mails_wK.txt` (скрипт-образец: `tmp/th_split_mails4.py`).
+3. Сгенерировать farm-скрипты на волну: скопировать базовый `th_eu_farm2.py`, строковой заменой подставить (a) свой чанк-файл в строку чтения почт, (b) свой used-файл `th_eu_usedK.txt` (2 вхождения: чтение + append), (c) рандомизацию прокси (см. ниже). `py_compile.compile(doraise=True)` на каждый перед запуском.
+4. Запуск: по одному `terminal(background=true)` на волну, лог в свой файл, target 300.
+
+**Прокси-пул ОБЯЗАН быть рандомизирован:** `SELECT proxy FROM pool WHERE alive=1 ORDER BY RANDOM() LIMIT 200`. Статический `LIMIT` без ORDER BY возвращает один и тот же верх пула каждой волне — все волны садятся на один exit-IP и ловят «Too many sign-ups from this network», пока одна волна даёт единицы SIGNUP OK.
+
+## 2. Зомби-дедуп перед запуском волн
+
+Перед стартом новой волны убить ВСЕ старые процессы farm: дубли жгут почты и дают гонку used-файлов.
+- Киллер писать В ФАЙЛ с уникальным маркером (`if 'kill_farms' in cl: continue`) + `p.pid != os.getpid()`. Инлайн `python -c "...th_eu_farm..."` матчит собственный cmdline и убивает себя (exit 15).
+- Считать только процессы с `python` в имени: bash-обёртка terminal'а тоже содержит путь к скрипту в cmdline.
+
+## 3. Recovery — одноразовый проход
+
+`th_do_recover.py` обрабатывает pending-бэклог и ВЫХОДИТ (не цикл). После каждой пачки сайнапов, упавших на этапе verify (прокси-смерть), recovery надо перезапускать; либо обернуть в бесконечный цикл с sleep. Признак: `tail th_recover.log` = «total recovered: N / pending left: M» и процесса нет в psutil.
+
+**Отложенные рестарты волн не доверять background-цепочкам** `sleep N && farm & ...`: цепочка молча умирает (лог-маркер не появляется, волны не стартуют), а пауза «до кулдауна» превращается в простой на часы. Либо перезапускать волны вручную в момент X, либо cron, и ВСЕГДА проверять факт старта (psutil + первые строки логов), а не факт запуска обёртки.
+
+## 4. Автопополнение шлюза: cron + тихая обёртка
+
+Паттерн «farm → шлюз без меня»:
+- `th_push_keys.py`: читает банк акков, дедупит ключи против уже существующих TH-каналов в one-api.db, вставляет недостающие, при new>0 рестартует new-api. INSERT-шаблон канала: `type=1`, `base_url='http://127.0.0.1:8790'` (шим, см. §5), `models='claude-haiku-5.5'`, `model_mapping='{"claude-haiku-5.5":"claude-haiku-5.5:free"}'`, `test_model=''`, priority/weight/tag существующей TH-группы, + abilities-строки на каждую группу пользователей. `PRAGMA busy_timeout=25000` обязателен.
+- Обёртка `scripts/th_auto_push.sh`: запускает пушер, `grep -q "new channels to add: 0"` → молчаливый `exit 0`; иначе печатает tail вывода.
+- Cron `no_agent` каждые 15 мин с deliver в TG-тред: no_agent-джоба доставляет только НЕпустой stdout → «тихо когда нечего делать, алерт когда добавилось» получается бесплатно.
+
+## 5. th-shim: подача TH-каналов через свежий IP
+
+TH душит запросы с одного серверного IP («Network rate limit», 429). Все live TH-каналы держат `base_url='http://127.0.0.1:8790'` — локальный aiohttp-шим на VPS (`/opt/th-shim/th_shim.py`, systemd `th-shim.service`):
+- Порядок попыток: home-туннель (reverse SSH gateway:8791 → домашний форвардер :8792) → direct tokenharbor.ai → пул проверенных прокси (`good.txt`, фолбэк `pool.txt`), cooldown на 429.
+- **HOP-by-hop strip ОБЯЗАН включать `content-encoding`**: aiohttp декомпрессирует gzip апстрима, но проброшенный заголовок заставляет Go-клиент new-api декомпрессировать уже plain-тело → `gzip: invalid header` → каналы 503 на БОЛЬШИХ ответах. Мелкие curl-смоки (<1.4KB, апстрим не gzippит) при этом зелёные и маскируют баг — смокать всегда большим prompt'ом и стримом.
+- **Таймауты — только `sock_connect` + `sock_read`, НИКОГДА `ClientTimeout(total=N)`**: total режет длинные стримы (Claude Code стримит минуты) на середине → пользовательское «стрим прерван». sock_connect 8-10s = fail-fast на мёртвых выходах; sock_read 20-45s = зазор между чанками, живой длинный стрим не убивает. `MAX_PROXY_TRIES` держать 2-3: худшая цепочка (home+direct+N прокси) обязана быть короче терпения new-api, иначе пользователь висит 90s+ до 503. Быстрый 503 лучше минутного висона.
+- **TH душит free-аккаунты ПО СЕТЕВОМУ АДРЕСУ, и direct-лег с DC-IP мёртв by design**: 429 «many free accounts are sharing this network address» на серверном IP не лечится кулдауном — датацентровые адреса TH режет для free-ключей перманентно. Рабочие выходы для serving: home-резидент (пока не спален) и paid-резидентки (1024proxy DE, свежая сессия на запрос). Free-прокси для CHAT: под активным троттлом — ноль (GET /v1/models проходят десятки, chat POST — 0), но вердикт НЕ перманентен: через ~час TH-кулдауна часть пула начинает проходить chat (наблюдалось 34/250). Перепроверять периодически, не списывать навсегда.
+- **Health-чек прокси-пула — только реальный chat POST** (`/v1/chat/completions` c живым thk_-ключом, max_tokens=3) через каждый прокси; GET /v1/models даёт ложноположительных (40 из 195 проходили GET, 0 прошли chat). Пересобирать `good.txt` chat-пробом и пушить на VPS после каждого массового затухания.
+- **Авто-пересборку пула поставить в cron (~2ч, no_agent-обёртка)**: chat-проба топ-N alive из pool-БД, в `th_good_chat.txt` только 200 + latency <8s; если живых ≥10 — scp на `/opt/th-shim/good.txt` + `systemctl restart th-shim`, иначе алерт 'POOL LOW'. Здоров — stdout пустой. Цепочка скриптов: `tmp/th_chat_good_fast.py` (проба+отбор) + `scripts/th_shim_pool_refresh.py` (обёртка).
+- **Circuit breaker в шиме**: ≥3 последовательных фейла апстрима → breaker открыт → быстрые 503 'TH cooling down' до конца окна, окно проверяется одиночным probe-запросом. Без breaker'а в массовое затухание каждый пользовательский запрос жжёт все ноги (home+direct+N прокси × MAX_PROXY_TRIES) до таймаута.
+- **Разделяй signup-трафик и serving-выходы**: recovery-логины и сайнапы с home-IP сжигают его для шима (симптомы: CF 502 HTML → 429 на chat). Recovery гонять через прокси или ставить на паузу, пока serving зависит от home; волны — только через пул, никогда direct с home.
+- **Диагностика выходов по сигнатурам** (пробовать каждую ногу отдельно — home :8791, direct, прокси — с фейковым и с реальным ключом): быстрый 401 (0.2-1s) = выход ЖИВ, проблема в ключе; быстрый 429 = IP под троттлом (signup-кулдаун ~1ч, chat-лимит на DC — навсегда); 502 + Cloudflare HTML = IP помечен/челлендж. Пустой journalctl th-shim при 503 — норма (шим молчит), мерить ноги напрямую.
+- **Мусорные каналы-«пулы» ломают пробу и ротацию**: канал с аномально длинным key (склейка многих ключей, 1000+ символов) даёт клиентский `ValueError: Invalid header value` в urllib-пробах и сжирает ретраи new-api. После любой волны пушей: `SELECT id FROM channels WHERE status=1 AND length(key)>100` → disable + удалить abilities.
+- Альтернативный режим при живом paid-трафике: только DE-резидентки на каждый запрос. При 0 трафика free-пул держит signup-волны, но serving для free-ключей упирается в per-network-address лимит — это потолок бесплатного контура, лечится только пополнением paid-прокси.
+
+## 6. Smoke-дисциплина
+
+- Заголовок Authorization собирать конкатенацией `('Bea'+'rer ') + key` в ЛЮБОМ тестовом коде — маскирующий слой портит литерал `'Bearer '` даже внутри terminal-команд, и смок получает ложный 401 при живом шлюзе.
+- Перед выводом «хайку не работает» по мотивам старого фонового теста: результат протухшего background-процесса описывает СОСТОЯНИЕ НА МОМЕНТ ЗАПУСКА. Всегда перепроверить живым смоком (маленький + большой стрим) до любых действий.
+- Каналы других моделей в ERR-логе new-api (404/429 по не-TH id) — не повод трогать TH-роутинг; фильтровать лог по своей модели/каналам.
+
+## 7. Волны: детект зависших и переиспользование почтовых пулов
+
+- Зависшая волна видна по tail лога: `no good proxies - sleep 300` (источник прокси умер/curated-пул исчерпан) или зависимость от paid-прокси с нулевым трафиком. Такая волна не даст ничего — убивать сразу, не ждать «следующего цикла».
+- Убитая волна оставляет большой НЕиспользованный почтовый пул (её chunk-файл + used-реестр). Перед сбором новых почт считать остаток: строк в chunk минус строк в used. Переиспользование = клонировать скрипт живой волны и заменить хардкод-имена MAIL/USED файлов (2 вхождения: чтение + append), `py_compile`, запуск. С двух мёртвых волн так поднимается 16K+ свежих почт без нового харвеста.
+- Зомби-дедуп (§2) распространять и на feeder/recovery: дубли `th_pool_feeder` жрут одни GH-списки и пишут в один pool, дубли recovery повторно обрабатывают pending. Киллер матчить по `th_eu_farm|th_pool_feeder|th_do_recover`.

skills/th-autoreg/scripts/deploy_vps_patch.py

@@ -0,0 +1,109 @@
+#!/usr/bin/env python3
+"""
+VPS Gateway Patch — добавляет /provider/add и /provider/remove эндпоинты.
+Запустить на VPS: python3 /opt/th_gateway/deploy_gateway_patch.py
+"""
+import json, os, shutil
+from datetime import datetime
+
+GATEWAY_PATH = "/opt/th_gateway/th_gateway.py"
+STATE_PATH = "/opt/th_gateway/th_gateway_state.json"
+BACKUP_DIR = "/opt/th_gateway/backups"
+
+# Backup
+os.makedirs(BACKUP_DIR, exist_ok=True)
+ts = datetime.now().strftime("%Y%m%d_%H%M%S")
+shutil.copy(GATEWAY_PATH, f"{BACKUP_DIR}/th_gateway.py.{ts}.bak")
+shutil.copy(STATE_PATH, f"{BACKUP_DIR}/th_gateway_state.json.{ts}.bak")
+print(f"Backup: {BACKUP_DIR}/th_gateway.py.{ts}.bak")
+
+with open(GATEWAY_PATH) as f:
+    code = f.read()
+
+if "STATE_FILE" not in code:
+    print("ERROR: STATE_FILE not found in gateway code")
+    exit(1)
+
+old_block = '''        elif path == "/register":
+            count = int(params.get("count", 5))'''
+
+new_block = '''        elif path == "/provider/add":
+            try:
+                data = json.loads(body)
+                provider = params.get("provider", data.get("provider", ""))
+                api_key = [REDACTED]"key", "")
+                label = data.get("label", "added")
+                if not provider or not api_key:
+                    [REDACTED]"error": "provider and key required"}, 400)
+                    return
+                with open(STATE_FILE) as f:
+                    st = json.load(f)
+                if provider not in st["providers"]:
+                    self._json({"error": f"unknown provider: {provider}"}, 400)
+                    return
+                for k in st["providers"][provider].get("keys", []):
+                    if k["key"] == api_key:
+                        [REDACTED]"status": "duplicate", "key": api_key[:20] + "..."})
+                        return
+                st["providers"][provider]["keys"].append({
+                    "key": api_key, "label": label,
+                    "added": datetime.now().isoformat(), "working": True, "last_used": None
+                })
+                with open(STATE_FILE, "w") as f:
+                    json.dump(st, f, indent=2)
+                self._json({"status": "added", "provider": provider, "key": api_key[:20] + "..."})
+            except Exception as e:
+                self._json({"error": str(e)}, 500)
+
+        elif path == "/provider/remove":
+            try:
+                data = json.loads(body)
+                provider = params.get("provider", data.get("provider", ""))
+                api_key = [REDACTED]"key", "")
+                if not provider or not api_key:
+                    [REDACTED]"error": "provider and key required"}, 400)
+                    return
+                with open(STATE_FILE) as f:
+                    st = json.load(f)
+                if provider not in st["providers"]:
+                    self._json({"error": f"unknown provider: {provider}"}, 400)
+                    return
+                before = len(st["providers"][provider].get("keys", []))
+                st["providers"][provider]["keys"] = [
+                    k for k in st["providers"][provider].get("keys", [])
+                    if k["key"] != api_key
+                ]
+                after = len(st["providers"][provider]["keys"])
+                with open(STATE_FILE, "w") as f:
+                    json.dump(st, f, indent=2)
+                self._json({"status": "removed" if after < before else "not_found",
+                            "provider": provider, "before": before, "after": after})
+            except Exception as e:
+                self._json({"error": str(e)}, 500)
+
+        elif path == "/register":
+            count = int(params.get("count", 5))'''
+
+if old_block in code:
+    code = code.replace(old_block, new_block)
+    print("Patch 1: /provider/add + /provider/remove added")
+else:
+    print("Patch 1: SKIPPED — already patched or code changed")
+
+old_root = '''    "POST /register?count=N": "start registering N accounts",'''
+new_root = '''    "POST /provider/add?provider=X": "add API key to provider",
+    "POST /provider/remove?provider=X": "remove API key from provider",
+    "POST /register?count=N": "start registering N accounts",'''
+
+if old_root in code:
+    code = code.replace(old_root, new_root)
+    print("Patch 2: root endpoint updated")
+else:
+    print("Patch 2: SKIPPED — already patched or code changed")
+
+with open(GATEWAY_PATH, "w") as f:
+    f.write(code)
+
+print("Code updated. Restarting th-gateway...")
+os.system("systemctl restart th-gateway")
+print("Done!")