В Facebook Ads Manager появилась метрика Creative Diversity

Meta представила метрику Creative Diversity для оценки разнообразия креативов. Алгоритм Generative Recommender анализирует стиль, тему, тип хука и формат объявлений. Простое изменение цвета или ракурса теперь не работает: система пессимизирует похожие подходы. Для эффективного залива арбитражникам придется тестировать принципиально разный контент, чтобы алгоритмы лучше находили аудиторию. Инструмент выйдет из беты до конца года.

➡️ Читайте на сайте: https://aff.top/blog/v-facebook-ads-manager-poiavilas-metrika-creative-diversity

🧠 Ещё больше инсайтов → в канале AFF.top

Твои переписки с ChatGPT читают люди

OpenAI привлекает подрядчиков для ручного анализа диалогов с ChatGPT, чтобы повысить качество модели. В ходе проверки конфиденциальная информация пользователей попадает к третьим лицам. Для сферы CPA это несет прямые риски: уникальные связки, креативы и структуры лендингов, созданные нейросетью, перестают быть приватными. Главный вывод — любая информация, переданная ИИ, может быть изучена извне, что ведет к быстрому выгоранию профитных подходов …

➡️ Читайте на сайте: https://aff.top/blog/tvoi-perepiski-s-chatgpt-chitaiut-liudi

🧠 Ещё больше инсайтов → в канале AFF.top

Does your browser actually reject a revoked certificate?

The assumption "if a certificate is revoked, my browser will block it" describes how revocation is supposed to work, not how it does. Two legacy mechanisms — CRLs (Certificate Revocation Lists, RFC 5280) and OCSP (Online Certificate Status Protocol, RFC 6960) — both fail open. CRLs grew too large to download routinely. OCSP checks add latency and leak browsing to the CA, so browsers adopted soft-fail: if the responder is slow or unreachable, the browser proceeds as if the certificate were valid.

Adam Langley's well-known critique called soft-fail revocation "useless," because any attacker capable of using a stolen certificate can also block the revocation check — the same network position enables both. Chrome largely disabled live OCSP years ago in favor of CRLSets, a curated push of high-priority revocations; Firefox built CRLite, a compressed Bloom-filter structure pushed to the browser.

These push-based systems work because the browser already has the answer before the handshake, so there is nothing for an attacker to block. But they cover a subset of revocations, not all.

— CRL/OCSP fail open by default
— Soft-fail is defeatable by the same attacker
— CRLSets/CRLite push a curated subset

Further reading: Langley, "Revocation checking and Chrome's CRL" (2012); Firefox CRLite.
Bottom line: Live revocation checking is mostly theater. Browser-pushed lists and short certificate lifetimes are what actually protect you.

What actually lets Firefox check revocation for the entire Web Public Key Infrastructure in a few megabytes?

The answer is CRLite, and the mechanism is a worked example of probabilistic data structures meeting a real security need.

Revocation at web scale is a data problem. Certificate Revocation Lists (CRLs, RFC 5280) are large and stale; OCSP (RFC 6960) is per-query and privacy-leaking. CRLite, from a 2017 IEEE S&P paper by Larisch et al. and now shipping in Firefox, asks: can we push the full revocation state of every publicly-trusted certificate to the client?

The enabling insight is Certificate Transparency. Because CT logs (RFC 6962) enumerate essentially all issued certificates, the universe of certificates is knowable. CRLite encodes the revoked subset against that known universe using a cascade of Bloom filters. A single Bloom filter has false positives; a cascade layers additional filters trained only on the items the previous layer got wrong, driving the aggregate false-positive rate to zero over the known set.

The result compresses hundreds of millions of certificates' revocation status into roughly 1–10 MB, with daily delta updates. Lookups are local, instant, and leak nothing to the CA.

The constraint: it only works for certificates the client's filter knows about, so it depends on comprehensive CT coverage and timely updates.

Further reading: Larisch et al., "CRLite" (IEEE S&P 2017); RFC 6962; Mozilla's CRLite rollout posts.

Bottom line: CRLite turns revocation into a local lookup by exploiting CT's complete certificate census plus a zero-false-positive Bloom filter cascade.

Google тестирует оплату за контент сайта

Google запустил тест программы AI Contribution Pilot, предлагая вебмастерам выплаты через Search Console за контент, повлиявший на ответы ИИ в Gemini и AI Overviews. Алгоритмы оценки вклада и формулы расчетов непрозрачны, а суммы пока скромные. Главный итог: создан важный прецедент прямой компенсации за использование авторских материалов в генеративной выдаче.

➡️ Читайте на сайте: https://aff.top/blog/google-testiruet-oplatu-za-kontent-saita

🧠 Ещё больше инсайтов → в канале AFF.top

В публичный доступ вышли Gemini 3.8 Live и Gemini 3.8 Live Extended Thinking

Google представила Gemini 3.8 Live и Extended Thinking — голосовые ИИ-модели с поддержкой 97 языков и функцией параллельного мышления. Инструмент умеет выполнять фоновые задачи и анализировать видео в реальном времени, не прерывая диалог. Высокое качество распознавания речи и доступ через API позволяют эффективно использовать модели для автоматизации воронки продаж, обработки лидов и создания интерактивных креативов.

➡️ Читайте на сайте: https://aff.top/blog/v-publichnyi-dostup-vyshli-gemini-3-8-live-i-gemini-3-8-live-extended-thinking

🧠 Ещё больше инсайтов → в канале AFF.top

Топ 5 spy-сервисов для Facebook

В обзоре сравниваются пять spy-сервисов для Facebook: от бесплатной Library до профессиональных AdSpy и Tyver. Автор оценивает их по глубине аналитики, охвату и цене. Главный вывод: бесплатные решения не показывают профитность креативов, поэтому для работы в плюс необходим платный софт. Лидером рейтинга стал Tyver за баланс стоимости и функций. Инвестиции в спай окупаются за счет быстрого поиска рабочих подходов и экономии бюджета на тестах новы…

➡️ Читайте на сайте: https://aff.top/blog/top-5-spy-servisov-dlia-facebook

🧠 Ещё больше инсайтов → в канале AFF.top

Meta добавила платную подписку на свои соцсети

Meta расширяет программу Meta Verified, внедряя подписку Meta One с тремя тарифами стоимостью до 19,99 долларов. Пакеты включают верификацию и доступ к ИИ компании. Несмотря на скепсис по поводу нейросетей, синяя галочка остается важным инструментом для арбитража. В нише УБТ верифицированные аккаунты моделей повышают траст и упрощают залив. Подписка становится техническим расходом, требующим оценки окупаемости в рамках связок.

➡️ Читайте на сайте: https://aff.top/blog/meta-dobavila-platnuiu-podpisku-na-svoi-socseti

🧠 Ещё больше инсайтов → в канале AFF.top

Network roundup — across the board:

— @ThePressHook — Real digital PR plays that landed coverage in major outlets: angle…
— @FeedHeretic — Debunking LinkedIn 'guru' advice with what the feed actually rewards…
— @BidStack101 — Header bidding explained without the AdTech jargon: what Prebid,…
— @thechainleaks — The crypto-affiliate grapevine: which networks just changed payouts,…

What actually happens during a TLS 1.3 KeyUpdate, and why isn't it the same as renegotiation?

The distinction matters because TLS 1.3 deliberately killed renegotiation — a feature with a long abuse history — and replaced it with something narrower.

TLS 1.2 renegotiation let either party run a fresh handshake inside an existing connection, re-authenticating or rekeying mid-stream. It enabled the 2009 renegotiation attack (CVE-2009-3555), where injected plaintext was spliced ahead of a client's authenticated request. RFC 5746 patched it, but the complexity remained.

TLS 1.3 (RFC 8446 §4.6.3) removes renegotiation entirely. For rekeying it offers KeyUpdate: a post-handshake message saying "derive the next traffic key." The new application-traffic secret is computed by applying HKDF-Expand-Label with the label "traffic upd" to the current secret — a one-way ratchet forward. No new key exchange, no re-authentication, no transcript renegotiation. KeyUpdate can request the peer also update (update_requested), giving bidirectional rekey.

What it cannot do is change identities or parameters. That deliberate limitation is the security gain: there is no in-band way to re-handshake, so the renegotiation attack surface is structurally absent. Re-authentication, where needed, is handled separately via post-handshake authentication (CertificateRequest), not by rekeying.

KeyUpdate exists mainly to bound the data encrypted under a single key, respecting AEAD usage limits.

Further reading: RFC 8446 §4.6.3, §4.6.2; RFC 5746; CVE-2009-3555.

Bottom line: KeyUpdate ratchets traffic keys forward via HKDF without any new handshake — it rekeys but, unlike renegotiation, cannot re-authenticate or re-parameterize, which is precisely why it's safe.

В Telegram Ads добавили Banner in Bot

В Telegram Ads появился формат Banner in Bot для показа рекламы внутри ботов с аудиторией от 1000 человек. Инструмент таргетируется не на площадки, а на пользователей — по интересам, номерам телефонов и подпискам. Пока доступны только текстовые креативы по ставкам Target Users. Новинка позволяет напрямую через стандартный кабинет охватывать целевую аудиторию прямо в их диалогах с ботами.

➡️ Читайте на сайте: https://aff.top/blog/v-telegram-ads-dobavili-banner-in-bot

🧠 Ещё больше инсайтов → в канале AFF.top

Anthropic готовит к запуску Claude Money

Anthropic анонсировала Claude Money — ИИ-сервис для управления личными финансами и автоматизации платежей. Инструмент позволяет подключать банковские карты для анализа расходов, планирования бюджета и проведения транзакций. Это переход от консультационных моделей к полноценным финансовым агентам. Внедрение технологии позволит пользователям делегировать нейросети рутинные задачи, включая оплату токенов и подписок на необходимые рабочие сервисы.

➡️ Читайте на сайте: https://aff.top/blog/anthropic-gotovit-k-zapusku-claude-money

🧠 Ещё больше инсайтов → в канале AFF.top

Meta ограничивает расходы на токены для сотрудников

Meta ввела внутренние лимиты на использование ИИ из-за резкого роста расходов: в 2026 году только на сотрудников заложены миллиарды долларов, а общий бюджет на ИИ-инфраструктуру оценивается в 130–145 млрд. Вывод простой: даже у Big Tech ИИ перестал быть бесплатной игрушкой и требует жёсткого контроля затрат.

➡️ Читайте на сайте: https://aff.top/blog/meta-ogranichivaet-raskhody-na-tokeny-dlia-sotrudnikov

🧠 Ещё больше инсайтов → в канале AFF.top

upgrade-insecure-requests or block-all-mixed-content: which CSP directive fits a migration?

When you move a site to HTTPS but legacy resources still reference http://, which Content Security Policy tool should you reach for? They solve adjacent but distinct problems.

upgrade-insecure-requests rewrites in-document HTTP subresource URLs to HTTPS before the request is made. It is forgiving: if the resource exists over TLS, it loads; the user sees no breakage. This is the migration aid — it papers over hardcoded http:// references during transition.

block-all-mixed-content does the opposite: it refuses to load any mixed content, optionally including the passive kind browsers normally allow. It is the enforcement tool — useful once you believe the site is clean and want a hard guarantee against regression.

Note that browsers now auto-upgrade many mixed requests regardless, and block passive mixed content in stricter modes, so these directives increasingly codify behavior the browser trends toward anyway.

— Use upgrade-insecure-requests during and shortly after migration.
— Switch to block-all-mixed-content once you want regression protection.
— Audit with the browser console's mixed-content warnings before flipping to block mode.

Further reading: W3C Mixed Content specification; CSP Level 3.

Bottom line: upgrade is the gentle migration crutch; block is the strict post-migration guardrail — sequence them, do not pick one forever.

Is SHA-1 still acceptable for internal or non-critical certificates?

The rationalization "SHA-1 is fine for internal certs, no one's attacking those" misjudges both the cost of the attack and the role of the signature. SHA-1 is the hash over which a CA computes a certificate's signature. A collision — two different inputs hashing to the same digest — lets an attacker craft a benign certificate signed by a CA and a malicious one sharing that signature, transplanting the trust.

This stopped being theoretical in 2017 when Stevens et al. produced SHACK/SHAttered, the first practical SHA-1 collision, and in 2020 Leurent and Peyrin demonstrated a chosen-prefix collision for roughly $45,000 of compute — directly applicable to certificate forgery. "Internal" does not change the math; it only changes who you imagine the attacker to be, and chosen-prefix collisions are now within reach of well-resourced adversaries and falling in price.

Browsers stopped accepting publicly-trusted SHA-1 certificates in 2017. The mandated baseline is SHA-256 or stronger (the SHA-2 family). There is no security argument for SHA-1 signatures on any new certificate.

— Chosen-prefix SHA-1 collisions are practical and cheap
— Forged certificates are the direct threat
— SHA-256 is the floor everywhere

Further reading: Leurent & Peyrin, "SHA-1 is a Shambles" (2020).
Bottom line: SHA-1 certificate signatures are forgeable today. "Internal" is not an exemption; use SHA-256.

Claude Cowork, Claude Design объединили в один Claude

➡️ Читайте на сайте: https://aff.top/blog/claude-cowork-claude-design-obedinili-v-odin-claude

🧠 Ещё больше инсайтов → в канале AFF.top