Anthropic выпустили Sonnet 5

30 июня вышла Claude Sonnet 5 — новая версия позиционируется как самая агентная в линейке и приближается к флагманской Opus 4.8. Модель лучше справляется со сложными многоуровневыми задачами, устойчива к вредоносным запросам и не генерирует эксплойты. Sonnet 5 доступна на Free-тарифе, но тестирование показало скромные улучшения: хотя работает лучше Sonnet 4.6, её обгоняют конкуренты, включая китайские модели, которые дешевле через API при лучшей…

➡️ Читайте на сайте: https://aff.top/blog/anthropic-vypustili-sonnet-5

🧠 Ещё больше инсайтов → в канале AFF.top

Content-Security-Policy Rollout SOP
Use when adding CSP to a site that has none.

— Step 1: Inventory every external script, font, and analytics domain the site loads. CSP breaks what you forgot.
— Step 2: Start with Content-Security-Policy-Report-Only plus a report-uri endpoint. Break nothing yet.
— Step 3: Collect violation reports for a full week, including ad and tag-manager traffic.
— Step 4: Build the allowlist from real reports. Avoid unsafe-inline; use nonces or hashes for inline scripts.
— Step 5: Flip from report-only to enforced during low-traffic hours.
— Step 6: Keep the report endpoint live after enforcement to catch regressions from new plugins.

Run this every time.

Clickstar прекращает работу

Clickstar закрывается. Легендарная пуш-сеть прекращает закуп трафика с 1 августа, полная остановка — 20 августа.

Сетка работала почти 8 лет и была одним из лучших источников качественного трафика на Россию и СНГ. Сейчас пуш-трафик стал слишком ботовым из-за гугловских банов на скрипты сбора.

Что это означает для арбитражников — разбираемся в ста…

➡️ Читайте на сайте: https://aff.top/blog/clickstar-prekraschaet-rabotu

🧠 Ещё больше инсайтов → в канале AFF.top

New-Site Hardening SOP
The master pre-launch pass. Don't go live until every box is checked.

— Step 1: HTTPS enforced site-wide, HSTS set, mixed content cleared.
— Step 2: Admin account is not named "admin"; 2FA enrolled on it before anything else.
— Step 3: File permissions 755/644, wp-config.php at 640, file editor disabled.
— Step 4: XML-RPC blocked, REST users endpoint locked, enumeration blocked.
— Step 5: Security headers and a baseline CSP deployed.
— Step 6: Login lockout configured, wp-admin IP-restricted where possible.
— Step 7: Off-site backup confirmed working with one test restore.
— Step 8: WAF in blocking mode, uploads directory non-executable.

Run this every time.

Facebook запретил рекламу онлайн-казино Mr Vegas

Британский ASA запретил рекламу казино Mr Vegas из-за «слишком милых» мультяшных животных в креативах — регулятор счёл, что такой стиль привлекает детей, в том числе через Facebook. Рекламодатель запустил кампанию в феврале, бан вышел в июле. Логика регулятора вызывает вопросы: дети неплатёжеспособны, а таргетировать их на гемблинг бессмысленно.

➡️ Читайте на сайте: https://aff.top/blog/facebook-zapretil-reklamu-onlain-kazino-mr-vegas

🧠 Ещё больше инсайтов → в канале AFF.top

В Whatsapp скамят пользователей с помощью поддельных никнеймов

WhatsApp запустил никнеймы — и почти сразу начался скам. Мошенники регистрируют имена, похожие на бренды, звёзд и политиков, с минимальными опечатками.

Индия, где 500 млн пользователей WhatsApp, потребовала от Meta объяснений за 3 дня. Meta говорит, что точные совпадения заблокированы — но одна буква в другом месте защиту не триггерит.

Похоже, п…

➡️ Читайте на сайте: https://aff.top/blog/v-whatsapp-skamiat-polzovatelei-s-pomoschiu-poddelnykh-nikneimov

🧠 Ещё больше инсайтов → в канале AFF.top

Вышел ZCode - аналог Claude code

Вышел ZCode — десктопный аналог Claude Code от разработчиков GLM-5.2. Работает с API от Anthropic, поддерживает SSH-деплой на сервер, в том числе Linux.

Вместо пошаговых скриптов — система целеполагания Goal: закидываешь сложный промт, агент сам разбивает задачу и выполняет. Плюс управление через Telegram-бота.

Но главная фича — мультиагентность…

➡️ Читайте на сайте: https://aff.top/blog/vyshel-zcode-analog-claude-code

🧠 Ещё больше инсайтов → в канале AFF.top

WordPress Salt Rotation SOP
Rotating auth keys invalidates every active session and forces re-login. Run after any suspected compromise.

— Step 1: Pull fresh keys from api.wordpress.org/secret-key/1.1/salt/.
— Step 2: Replace all 8 constants in wp-config.php (AUTH_KEY through NONCE_SALT). Replace, don't append.
— Step 3: Verify the file still has no trailing whitespace after ?> — none should exist.
— Step 4: Confirm every admin gets logged out. If a session survives, a second config is being loaded.
— Step 5: Reset all admin passwords in the same window.
— Step 6: Log the rotation date in your incident sheet.

Run this every time you offboard an admin or pull a leaked backup.
Run this every time.

Cloudeflare грозит Google блокировкой трафика

Cloudflare объявил: с 15 сентября 2026 года ИИ-краулеры будут заблокированы по умолчанию на всех сайтах с рекламой — включая Googlebot, Applebot и Bingbot.

Главная претензия — к Google: один и тот же бот индексирует страницы и собирает данные для обучения нейросетей, что даёт поисковику нечестное преимущество.

Но есть нюанс, который меняет всю к…

➡️ Читайте на сайте: https://aff.top/blog/cloudeflare-grozit-google-blokirovkoi-trafika

🧠 Ещё больше инсайтов → в канале AFF.top

Гайд: как заработать первые деньги на Pornhub

Pornhub — самый посещаемый адалт-сайт в мире, и на нём действительно можно зарабатывать. Но схема устроена иначе, чем кажется.

Автор залил ролики, набрал 16 000 просмотров — и получил 47 центов встроенной монетизации. Реальные деньги были в другом.

Есть нюансы с верификацией, голосом в роликах и законодательством РФ, которые ломают большинство с…

➡️ Читайте на сайте: https://aff.top/blog/gaid-kak-zarabotat-pervye-dengi-na-pornhub

🧠 Ещё больше инсайтов → в канале AFF.top

XML-RPC Disable + Verify SOP
Disabling the toggle isn't enough — confirm the endpoint is actually dead.

— Step 1: Block /xmlrpc.php at the web server, not just via plugin. Plugins load too late to stop floods.
— Step 2: Verify: curl -I https://site.com/xmlrpc.php must return 403 or 404, never 405.
— Step 3: Test the amplification vector: a POST with system.multicall must be rejected before PHP runs.
— Step 4: Confirm Jetpack or mobile app isn't silently broken if you still need them — allowlist by IP instead.
— Step 5: Re-check after every WordPress core update; updates can restore the file.

Do this on every site you don't explicitly need pingbacks on.
Run this every time.