Вышел в публичный доступ DeepSeek-V4.1-Flash

➡️ Читайте на сайте: https://aff.top/blog/vyshel-v-publichnyi-dostup-deepseek-v4-1-flash

🧠 Ещё больше инсайтов → в канале AFF.top

Facebook ads добавляет детальный таргетинг in-market categories

Facebook Ads тестирует In-market categories — новый детальный таргетинг на пользователей, которые прямо сейчас выбирают товар или услугу и ближе всего к покупке. Для арбитража это может дать более «горячую» аудиторию и потенциально лучший CR, особенно в e-commerce, нутре и других вертикалях. Пока функция доступна не всем, но её стоит тестировать сразу после масштабного релиза.

➡️ Читайте на сайте: https://aff.top/blog/facebook-ads-dobavliaet-detalnyi-targeting-in-market-categories

🧠 Ещё больше инсайтов → в канале AFF.top

Is loading an image over HTTP on an HTTPS page a harmless warning?

The dismissal "it's just an image over HTTP, the warning is cosmetic" misreads the threat model behind mixed content. Browsers split mixed content into two classes. Active mixed content — scripts, stylesheets, iframes, fetch/XHR — is blocked outright, because an attacker who substitutes it executes in your origin. Passive mixed content — images, audio, video — is what triggers the softer warning, and that is where the "harmless" myth lives.

Passive content is not benign. An on-path attacker (think hostile Wi-Fi) who intercepts an HTTP image can swap pixels, but more importantly the request still leaks: the HTTP fetch exposes the page context, referrer, and cookies sent in cleartext, and a manipulated image can be used for tracking or, with crafted dimensions, layout-based deception. The integrity guarantee of HTTPS is broken for that subresource.

This is why browsers now auto-upgrade passive mixed content to HTTPS where possible and warn where not. The Content Security Policy directive upgrade-insecure-requests formalizes it.

— Active mixed content: blocked, can run code
— Passive: warned, but leaks and is tamperable
— upgrade-insecure-requests rewrites the requests

Further reading: W3C Mixed Content specification; CSP upgrade-insecure-requests.
Bottom line: Passive mixed content still breaks the page's confidentiality and integrity guarantee. Fix the URLs; don't dismiss the warning.

MoneyGram запустила карту Visa

MoneyGram и Visa запустили виртуальную карту на стейблкоине MGUSD: пока она работает только в Колумбии и привязывается к Apple/Google Wallet, но в планах — новые GEO и физические карты. Для арбитража это сигнал, что стейблкоин-платежи могут стать удобным способом оплаты и, возможно, источником новых платежных решений под CPA и iGaming.

➡️ Читайте на сайте: https://aff.top/blog/moneygram-zapustila-kartu-visa

🧠 Ещё больше инсайтов → в канале AFF.top

Apple выпустила документацию для приложений на Iphone Duo

Выход складного iPhone Duo потребует от разработчиков адаптации интерфейсов под новые пропорции экрана и версии iOS. Арбитражникам, использующим классические web-приложения под гемблу, придется срочно переделывать софт под три новых режима совместимости Apple, в то время как владельцы PWA-связок смогут продолжить работу без дополнительных технических правок.

➡️ Читайте на сайте: https://aff.top/blog/apple-vypustila-dokumentaciiu-dlia-prilozhenii-na-iphone-duo

🧠 Ещё больше инсайтов → в канале AFF.top

Топ-5 прокси сервисов для УБТ

Статья разбирает выбор прокси для автоматизации УБТ: от массового фарма соцсетей до парсинга. Универсального провайдера нет: для рутинных скриптов подходят дешевые серверные IPv4, для долгого прогрева аккаунтов — трастовые мобильные IP с безлимитным трафиком, а для редких гео — резидентские пулы. Главный вывод: прокси — критически важный расходник, экономия на котором ломает работу связок и многопоточного софта.

➡️ Читайте на сайте: https://aff.top/blog/top-5-proksi-servisov-dlia-ubt

🧠 Ещё больше инсайтов → в канале AFF.top

Anthropic обвинила DeepSeek, Moonlight и Alibaba в дистиляции

Статья о том, как китайские компании массово выкачивают ответы западных нейросеток, чтобы дообучать свои модели. Anthropic говорит о 24 000 фейковых аккаунтов и 16 млн запросов к Claude. Вывод простой: рынок ИИ входит в фазу жёсткого копирования, а китайские модели Qwen, Kimi и DeepSeek могут быстро догонять лидеров дешевле.

➡️ Читайте на сайте: https://aff.top/blog/anthropic-obvinila-deepseek-moonlight-i-alibaba-v-distiliacii

🧠 Ещё больше инсайтов → в канале AFF.top

Does supporting more cipher suites improve compatibility without cost?

The operations instinct "enable every cipher suite so nothing breaks" treats the suite list as free insurance. It is not. In TLS 1.2 a long, permissive list reintroduces downgrade exposure: a network attacker who can influence negotiation steers the connection toward the weakest mutually supported option. The historical attacks — FREAK (forced export-grade RSA), Logjam (export-grade Diffie-Hellman), Sweet32 (64-bit block ciphers like 3DES) — all exploited suites that servers kept enabled "for compatibility" with clients that no longer existed.

The correct posture is an intentional, ordered allow-list with the server choosing, not the client. Mozilla's widely cited "intermediate" configuration enables a small set of AEAD (Authenticated Encryption with Associated Data) suites — AES-GCM and ChaCha20-Poly1305 — and nothing else. Real-world telemetry shows this covers essentially all clients from the last decade.

TLS 1.3 ended the debate by design: it defines only five AEAD cipher suites and removed renegotiation, static RSA, and CBC modes entirely (RFC 8446, §B.4). There is nothing weak left to enable.

— Long 1.2 lists invite downgrade attacks
— Server-chosen, ordered allow-list is the fix
— TLS 1.3 ships five safe suites, no knobs

Further reading: RFC 8446 §B.4; Mozilla SSL Configuration Generator.
Bottom line: More cipher suites means more attack surface, not more safety. Curate a short AEAD-only list.

SSL / HTTPS: где чаще всего ломается доверие между браузером и сайтом

SSL в разговорной речи давно означает TLS (Transport Layer Security): именно он шифрует канал, проверяет подлинность сервера и защищает целостность данных. HTTPS — это HTTP поверх TLS, а не отдельный протокол. Базовая логика описана в RFC 8446: клиент и сервер договариваются о наборе алгоритмов, затем сервер доказывает, что владеет ключом, связанным с сертификатом.

Главные поломки почти всегда практические:
— сертификат не совпадает с доменом;
— цепочка доверия неполная или не склеена правильно;
— просрочен промежуточный сертификат;
— включён старый набор шифров, который клиент уже не принимает;
— на сервере забыли SNI (Server Name Indication), и отдаётся “чужой” сертификат.

Важно не путать шифрование с безопасностью сайта вообще. TLS не спасает от фишинга на домене-двойнике, не исправляет уязвимости приложения и не делает cookies безопасными без флагов Secure, HttpOnly и SameSite. Исследования браузерных экосистем показывают: большинство “красных экранов” у пользователя возникает не из-за криптографии как таковой, а из-за неверной настройки цепочки, времени на сервере или обратного прокси.

Если нужен быстрый аудит, проверяйте три вещи: имя в сертификате, полный путь до корневого CA и согласованность конфигурации на CDN, балансировщике и origin. Именно на стыках чаще всего теряется валидность.

Bottom line: HTTPS — это не галочка “включено”, а связка из сертификата, цепочки, алгоритмов и корректной маршрутизации. Один слабый элемент ломает доверие целиком.

Further reading: RFC 8446, RFC 2818, RFC 5280.

Is TLS 1.3 0-RTT simply a free speed upgrade?

The advice "turn on 0-RTT, it's faster with no downside" omits a real and spec-acknowledged security caveat. 0-RTT (zero round-trip time, RFC 8446 §2.3) lets a client send application data in its very first flight, using a pre-shared key from a prior session. The latency win is genuine — you save a full round trip on resumption.

The cost is replay. Unlike the rest of TLS 1.3, 0-RTT "early data" carries no guarantee against replay: an attacker who captures the early-data flight can resend it, and the server has no transcript-level way to detect the duplicate. RFC 8446 §8 is explicit that anti-replay must be handled at the application layer or by single-use tickets, and that the protocol cannot provide it alone.

The operational rule that follows: only idempotent requests may travel in early data. A GET is safe; a POST that charges a card or mutates state is not. Cloudflare and others restrict 0-RTT to safe methods for exactly this reason.

— 0-RTT saves a round trip on resumption
— Early data is replayable by design
— Confine it to idempotent requests

Further reading: RFC 8446, §2.3 and §8.
Bottom line: 0-RTT is fast but not free of consequence. Without application-layer anti-replay, restrict early data to idempotent operations.