# 🩸 AUTOREG SKILLS MAX

Максимальный пак скиллов и методологий авторегистрации аккаунтов: AI-сервисы, почтовые провайдеры, OAuth-фермы, captcha-обходы, SMS-верификация, прокси-ротация, gateway-интеграции. Собрано из ~30 реальных ферм (сентябрь–октябрь 2026), каждая методология проверена end-to-end.

Дисклеймер: материалы для исследований автоматизации регистрации и тестирования anti-bot защит. Все секреты, ключи, токены и данные аккаунтов вычищены — только методологии.

## Структура

| Директория | Что внутри |
|---|---|
| `skills/` | Скиллы-методологии по платформам и сервисам (SKILL.md + references/) |
| `external/` | Вендоренные open-source инструменты (MIT/Apache) с attribution |
| `references/` | Каталоги: captcha-солверы, email-провайдеры, SMS-сервисы, прокси, антидетект-браузеры, gateway-панели |
| `REGISTRATION-STACK.md` | Полный гайд: стек авторега от протокола до фермы (ниже) |

## Стек авторега 2026 — краткая карта

### 1. Протокол vs браузер

- **Протокол-first** (чистый HTTP): быстрее, дешевле, масштабируемее. Работает когда форма регистрации не завязана на браузерный челлендж. Примеры живых протокольных флоу: Attio (email-sign-in → temporary-code → cookies), Notion createSpace API, BeatAPI GH-OAuth (curl_cffi chrome131 TLS-фингерпринт обязателен — urllib/requests ловят CF 1010), new-api панели (GH OAuth + dashboard API), 2no.pl JSON-RPC (но только из browser-контекста — снаружи CF 403).
- **Браузер** (playwright/camoufox/cloakbrowser): когда native-капча или Signals-антифрод. Ключевое правило: **инъекция внешнего captcha-токена часто отбивается siteverify** (terrapolis, vani) — тогда решает только native-прохождение в реальном браузере (cloakbrowser) или sidecar с real_page=true.

### 2. Captcha — тиры решения

1. **Бесплатный локальный sidecar** ([waguriagentic/captcha-solver](https://github.com/waguriagentic/captcha-solver), CloakBrowser): Turnstile, reCAPTCHA v2/v3, hCaptcha, Cloudflare challenge, AWS WAF, BotGuard, DataDome, PerimeterX, Akamai, Aliyun, Arkose — HTTP API, ~0.5–30с/токен, $0. Для session-bound капч обязателен `real_page=true`.
2. **Multi-LLM vision voting**: скрин капчи → несколько VLM (qwen3-vl-flash/max/plus) голосуют → majority. Для Arkose FunCaptcha (GitHub signup) и картинных челленджей.
3. **Платные API** (2captcha/YesCaptcha/CapSolver): фолбэк. Питфолы: баланс проверяется POST res.php (GET врёт), некоторые сайты отбивают токены внешних солверов на siteverify, одноразовые токены Turnstile.

### 3. Email-провайдеры для ферм

- **t-online.de пул** (17K+ ящиков): IMAP secureimap.t-online.de:993. Питфол: dash-алиасы (`user-NNNN@`) мёртвы для доставки — только canonical.
- **Gmail +alias**: канонизируется большинством сервисов (плюс-алиас = тот же аккаунт). **Gmail dot-трюк**: `b.aradok@gmail` = новый аккаунт для whitelist-панелей (BeatAPI: gmail/163/qq/icloud/yahoo/foxmail).
- **Voidash** (api.voidash.com): программные inboxes, session_key Bearer, GET /messages. Проходит company-email гейты (Attio, Notion). Домен voidash.bond рабочий, eu.cc-домены блокируются.
- **Свой домен + forwardemail.net**: `.loc.cc` домены с TXT forward-email проходят WorkOS Signals (type.com E2E).
- **tempmail.lol**: токен В QUERY (`?token=`), не Bearer. **mail.tm**: часто в блок-листах. **1secmail**: мёртв.
- **Proton**: через solver-конвейер (ai-register-machine) — signup без капчи, IMAP-бридж.

### 4. SMS-верификация

- **2nd-no.com / 2no.pl** (free, PL-номера): JSON-RPC API из browser-контекста (x-auth-token из sessionStorage), 3 номера/аккаунт/3дня, Turnstile через paid-солвер. REUSE-FIRST паттерн: сначала активные резервы (_call 311), fresh-резерв только при исчерпании. WorkOS доставляет SMS на 2no (~30с). **OpenAI НЕ доставляет** на free-пул.
- **365sms** (sms-activate-совместимый): никогда не выбирать service `go` для India-OTP; сервисы с `_0`-суффиксом = WRONG_SERVICE.
- **Платные** (sms-activate/5sim ~$0.05–0.2): единственный путь для TG-реги (free-пулы = PhoneNumberBanned) и сервисов с carrier-фильтрами (Twilio A2P не доставляет на вирт. номера).

### 5. Прокси

- **Free-пулы** (proxyscrape, TheSpeedX, ProxyGrab API): живой выход ~5–20%, обязательна live-проверка перед волной (GET к целевому домену, не просто connect). SSL-MITM прокси пропускаются verify=False, но Firefox их убивает SEC_ERROR_UNKNOWN_ISSUER — проверять verify=True.
- **Свой пул с дедупом по exit-IP** (SQLite, 1 прокси = 1 IP): авто-скан источников каждые 30мин.
- **4G-модем ротация** (ZTE web API DISCONNECT_NETWORK/CONNECT_NETWORK): чистый мобильный IP, идеально для home-IP-банов.
- **Sticky residential** (1024proxy-класс): обязателен когда весь флоу (verify→register→login) должен идти с одного IP; региональные сессии (DE для notion.so/type.com). Питфол: ERR_TUNNEL_CONNECTION_FAILED = мёртвый узел, ретрай новой сессией.
- **Панели банят прокси-IP**: new-api панели регать НАПРЯМУЮ (403 на прокси), GitHub — через прокси. Разделять.

### 6. Антидетект-браузеры

- **Camoufox**: geoip=False когда exit-IP вне GeoIP-базы (иначе launch-краш сжигает слот); SkeletonUILock после taskkill — удалять lock; битый бинарник = `python -m camoufox fetch`.
- **CloakBrowser** (внутри captcha-solver): native-прохождение Turnstile/reCAPTCHA там, где инъекция токена отбивается.
- **Headless Chrome CDP** (:9222): обязательно `--remote-allow-origins=*` иначе Handshake 403.
- **BitBrowser**: профильная изоляция для Outlook-лупов (reg-factory паттерн).

### 7. OAuth-фермы (GitHub → new-api панели)

- GH-аккаунт с verified whitelist-почтой → OAuth authorize → code → панель. Уже-авторизованные акки отдают meta-refresh страницу с code+state в body (regex на `oauth/github?code=`).
- **state fail: POST 429** = лиммит на OAuth-приложение/регион — пэйсинг sleep 60+, повторный заход через 1–2ч. Конверсия волны без пэйсинга падает до 7–15%.
- Один GH-акк переиспользуется между панелями (разные OAuth-приложения), индексы свободных — в `_idx3_<panel>.txt`.
- **Device-flow для gh push-токенов**: password+TOTP логин → `gh auth login --web` → confirmation-форма посимвольно (включая дефис) → consent с `authorize='1'` (без него = access_denied).

### 8. Telegram-верификация (mini-app флоу)

miarouter/xkiro/codex-relay паттерн: регистрация → TG-тикет → Telethon-сессия: JoinChannel → sleep → `/start <token>` боту → inline-клик «Joined» → verified. **1 TG-сессия = 1 аккаунт** (reuse не работает). Любая ошибка бота (включая AuthKeyDuplicated) = mark used. Пул сессий хранить с tg_id, защищённые аккаунты — по ID, никогда по имени файла.

### 9. Gateway-интеграция нафармленного

- **new-api**: channel + abilities + group должны совпадать (иначе 403 «нет доступа к модели»); AutomaticDisableChannelEnabled=false во время фарм-волн (авто-бан по 401/403 убивает каналы лавиной); test_model ставить на реально рабочую модель канала.
- **OpenAI-compat ротаторы**: health-check по /v1/models НЕДОСТАТОЧЕН — свежие ключи дают 200 на models и 403 insufficient_quota на chat; чекать chat. Ротация по weekly_limit, карантин после N фейлов.
- **sub2api / CPA / chatgpt2api**: импорт号池 — структура в references соответствующих тулов.

### 10. Операционка ферм

- Состояние: jsonl-банк (аккаунт = строка) + used-списки + pending-recovery (email/pwd/proxy до verify — ретрай при смерти прокси).
- Пэйсинг: 20–45с между аккаунтами (429-лимиты), sleep 60+ на GH OAuth.
- Python311 + `PYTHONPATH=""` для camoufox/playwright-стека (системный python без зависимостей, PYTHONPATH чужого venv контаминирует).
- Зомби-процессы: batch'и перерождаются после рестартов — перед запуском CIM-запрос по CommandLine, убивать ВСЕ pid (taskkill на bash-обёртку сиротит python-ребёнка; SO_REUSEADDR на Windows позволяет двойной bind порта — проверять что инстанс один).
- Ложный успех: PAT/токен валидировать живым запросом к API (curl /api/v4/user), не фактом выдачи.

## Attribution

Вендоренные инструменты в `external/` — лицензии и копирайты в соответствующих директориях. Методологии написаны по собственным прогонам; пересечения с публичными проектами случайны и не являются копированием кода.

👻 [иишко](https://t.me/AlStack)