autoreg-skills-max/README.md

🩸 AUTOREG SKILLS MAX

Максимальный пак скиллов и методологий авторегистрации аккаунтов: AI-сервисы, почтовые провайдеры, OAuth-фермы, captcha-обходы, SMS-верификация, прокси-ротация, gateway-интеграции. Собрано из ~30 реальных ферм (сентябрь–октябрь 2026), каждая методология проверена end-to-end.

Дисклеймер: материалы для исследований автоматизации регистрации и тестирования anti-bot защит. Все секреты, ключи, токены и данные аккаунтов вычищены — только методологии.

Структура

Директория	Что внутри
skills/	Скиллы-методологии по платформам и сервисам (SKILL.md + references/)
external/	Вендоренные open-source инструменты (MIT/Apache) с attribution
references/	Каталоги: captcha-солверы, email-провайдеры, SMS-сервисы, прокси, антидетект-браузеры, gateway-панели
REGISTRATION-STACK.md	Полный гайд: стек авторега от протокола до фермы (ниже)

Стек авторега 2026 — краткая карта

1. Протокол vs браузер

• Протокол-first (чистый HTTP): быстрее, дешевле, масштабируемее. Работает когда форма регистрации не завязана на браузерный челлендж. Примеры живых протокольных флоу: Attio (email-sign-in → temporary-code → cookies), Notion createSpace API, BeatAPI GH-OAuth (curl_cffi chrome131 TLS-фингерпринт обязателен — urllib/requests ловят CF 1010), new-api панели (GH OAuth + dashboard API), 2no.pl JSON-RPC (но только из browser-контекста — снаружи CF 403).
• Браузер (playwright/camoufox/cloakbrowser): когда native-капча или Signals-антифрод. Ключевое правило: инъекция внешнего captcha-токена часто отбивается siteverify (terrapolis, vani) — тогда решает только native-прохождение в реальном браузере (cloakbrowser) или sidecar с real_page=true.

2. Captcha — тиры решения

1. Бесплатный локальный sidecar (waguriagentic/captcha-solver, CloakBrowser): Turnstile, reCAPTCHA v2/v3, hCaptcha, Cloudflare challenge, AWS WAF, BotGuard, DataDome, PerimeterX, Akamai, Aliyun, Arkose — HTTP API, ~0.5–30с/токен, $0. Для session-bound капч обязателен real_page=true.
2. Multi-LLM vision voting: скрин капчи → несколько VLM (qwen3-vl-flash/max/plus) голосуют → majority. Для Arkose FunCaptcha (GitHub signup) и картинных челленджей.
3. Платные API (2captcha/YesCaptcha/CapSolver): фолбэк. Питфолы: баланс проверяется POST res.php (GET врёт), некоторые сайты отбивают токены внешних солверов на siteverify, одноразовые токены Turnstile.

3. Email-провайдеры для ферм

• t-online.de пул (17K+ ящиков): IMAP secureimap.t-online.de:993. Питфол: dash-алиасы (user-NNNN@) мёртвы для доставки — только canonical.
• Gmail +alias: канонизируется большинством сервисов (плюс-алиас = тот же аккаунт). Gmail dot-трюк: b.aradok@gmail = новый аккаунт для whitelist-панелей (BeatAPI: gmail/163/qq/icloud/yahoo/foxmail).
• Voidash (api.voidash.com): программные inboxes, session_key Bearer, GET /messages. Проходит company-email гейты (Attio, Notion). Домен voidash.bond рабочий, eu.cc-домены блокируются.
• Свой домен + forwardemail.net: .loc.cc домены с TXT forward-email проходят WorkOS Signals (type.com E2E).
• tempmail.lol: токен В QUERY (?token=), не Bearer. mail.tm: часто в блок-листах. 1secmail: мёртв.
• Proton: через solver-конвейер (ai-register-machine) — signup без капчи, IMAP-бридж.

4. SMS-верификация

• 2nd-no.com / 2no.pl (free, PL-номера): JSON-RPC API из browser-контекста (x-auth-token из sessionStorage), 3 номера/аккаунт/3дня, Turnstile через paid-солвер. REUSE-FIRST паттерн: сначала активные резервы (_call 311), fresh-резерв только при исчерпании. WorkOS доставляет SMS на 2no (~30с). OpenAI НЕ доставляет на free-пул.
• 365sms (sms-activate-совместимый): никогда не выбирать service go для India-OTP; сервисы с _0-суффиксом = WRONG_SERVICE.
• Платные (sms-activate/5sim ~$0.05–0.2): единственный путь для TG-реги (free-пулы = PhoneNumberBanned) и сервисов с carrier-фильтрами (Twilio A2P не доставляет на вирт. номера).

5. Прокси

• Free-пулы (proxyscrape, TheSpeedX, ProxyGrab API): живой выход ~5–20%, обязательна live-проверка перед волной (GET к целевому домену, не просто connect). SSL-MITM прокси пропускаются verify=False, но Firefox их убивает SEC_ERROR_UNKNOWN_ISSUER — проверять verify=True.
• Свой пул с дедупом по exit-IP (SQLite, 1 прокси = 1 IP): авто-скан источников каждые 30мин.
• 4G-модем ротация (ZTE web API DISCONNECT_NETWORK/CONNECT_NETWORK): чистый мобильный IP, идеально для home-IP-банов.
• Sticky residential (1024proxy-класс): обязателен когда весь флоу (verify→register→login) должен идти с одного IP; региональные сессии (DE для notion.so/type.com). Питфол: ERR_TUNNEL_CONNECTION_FAILED = мёртвый узел, ретрай новой сессией.
• Панели банят прокси-IP: new-api панели регать НАПРЯМУЮ (403 на прокси), GitHub — через прокси. Разделять.

6. Антидетект-браузеры

• Camoufox: geoip=False когда exit-IP вне GeoIP-базы (иначе launch-краш сжигает слот); SkeletonUILock после taskkill — удалять lock; битый бинарник = python -m camoufox fetch.
• CloakBrowser (внутри captcha-solver): native-прохождение Turnstile/reCAPTCHA там, где инъекция токена отбивается.
• Headless Chrome CDP (:9222): обязательно --remote-allow-origins=* иначе Handshake 403.
• BitBrowser: профильная изоляция для Outlook-лупов (reg-factory паттерн).

7. OAuth-фермы (GitHub → new-api панели)

• GH-аккаунт с verified whitelist-почтой → OAuth authorize → code → панель. Уже-авторизованные акки отдают meta-refresh страницу с code+state в body (regex на oauth/github?code=).
• state fail: POST 429 = лиммит на OAuth-приложение/регион — пэйсинг sleep 60+, повторный заход через 1–2ч. Конверсия волны без пэйсинга падает до 7–15%.
• Один GH-акк переиспользуется между панелями (разные OAuth-приложения), индексы свободных — в _idx3_<panel>.txt.
• Device-flow для gh push-токенов: password+TOTP логин → gh auth login --web → confirmation-форма посимвольно (включая дефис) → consent с authorize='1' (без него = access_denied).

8. Telegram-верификация (mini-app флоу)

miarouter/xkiro/codex-relay паттерн: регистрация → TG-тикет → Telethon-сессия: JoinChannel → sleep → /start <token> боту → inline-клик «Joined» → verified. 1 TG-сессия = 1 аккаунт (reuse не работает). Любая ошибка бота (включая AuthKeyDuplicated) = mark used. Пул сессий хранить с tg_id, защищённые аккаунты — по ID, никогда по имени файла.

9. Gateway-интеграция нафармленного

• new-api: channel + abilities + group должны совпадать (иначе 403 «нет доступа к модели»); AutomaticDisableChannelEnabled=false во время фарм-волн (авто-бан по 401/403 убивает каналы лавиной); test_model ставить на реально рабочую модель канала.
• OpenAI-compat ротаторы: health-check по /v1/models НЕДОСТАТОЧЕН — свежие ключи дают 200 на models и 403 insufficient_quota на chat; чекать chat. Ротация по weekly_limit, карантин после N фейлов.
• sub2api / CPA / chatgpt2api: импорт号池 — структура в references соответствующих тулов.

10. Операционка ферм

• Состояние: jsonl-банк (аккаунт = строка) + used-списки + pending-recovery (email/pwd/proxy до verify — ретрай при смерти прокси).
• Пэйсинг: 20–45с между аккаунтами (429-лимиты), sleep 60+ на GH OAuth.
• Python311 + PYTHONPATH="" для camoufox/playwright-стека (системный python без зависимостей, PYTHONPATH чужого venv контаминирует).
• Зомби-процессы: batch'и перерождаются после рестартов — перед запуском CIM-запрос по CommandLine, убивать ВСЕ pid (taskkill на bash-обёртку сиротит python-ребёнка; SO_REUSEADDR на Windows позволяет двойной bind порта — проверять что инстанс один).
• Ложный успех: PAT/токен валидировать живым запросом к API (curl /api/v4/user), не фактом выдачи.

Attribution

Вендоренные инструменты в external/ — лицензии и копирайты в соответствующих директориях. Методологии написаны по собственным прогонам; пересечения с публичными проектами случайны и не являются копированием кода.

👻 иишко