Auth ломается не там, где пароль слабый, а где не закрыты границы доступа
Чаще всего проблемы в auth появляются не в форме логина, а вокруг неё:
• токены хранятся слишком долго и без понятной ротации
• refresh token доступен там, где его легко украсть
• сессия создаётся до проверки статуса пользователя
• reset-password и email-confirm идут через один и тот же слабый сценарий
Если у тебя Supabase или любой Postgres-backed backend, разделяй аутентификацию и авторизацию. Auth отвечает за «кто вошёл», а rls — за «что ему можно». Не смешивай эти слои: проверка в API без rls почти всегда превращается в дыру, особенно когда появляются сервисные ключи, фоновые задачи и ручные SQL-запросы.
Отдельно проверь edge cases:
— пользователь удалён, а токен ещё жив
— email поменяли, а старые сессии не отозваны
— magic link можно переиспользовать
— чужой invite попадает в уже существующий аккаунт
— роль в БД не совпадает с ролью в профиле
Хорошая auth-схема — это не «чтобы можно было войти», а чтобы нельзя было сделать лишнего даже при утечке токена. Держи короткий чек: короткая жизнь access token, контролируемый refresh, отзыв сессий, rls на всех таблицах, отдельные политики для service role и ручной аудит критичных действий.
Чаще всего проблемы в auth появляются не в форме логина, а вокруг неё:
• токены хранятся слишком долго и без понятной ротации
• refresh token доступен там, где его легко украсть
• сессия создаётся до проверки статуса пользователя
• reset-password и email-confirm идут через один и тот же слабый сценарий
Если у тебя Supabase или любой Postgres-backed backend, разделяй аутентификацию и авторизацию. Auth отвечает за «кто вошёл», а rls — за «что ему можно». Не смешивай эти слои: проверка в API без rls почти всегда превращается в дыру, особенно когда появляются сервисные ключи, фоновые задачи и ручные SQL-запросы.
Отдельно проверь edge cases:
— пользователь удалён, а токен ещё жив
— email поменяли, а старые сессии не отозваны
— magic link можно переиспользовать
— чужой invite попадает в уже существующий аккаунт
— роль в БД не совпадает с ролью в профиле
Хорошая auth-схема — это не «чтобы можно было войти», а чтобы нельзя было сделать лишнего даже при утечке токена. Держи короткий чек: короткая жизнь access token, контролируемый refresh, отзыв сессий, rls на всех таблицах, отдельные политики для service role и ручной аудит критичных действий.
Forwarded from AFF.TOP
This media is not supported in your browser
VIEW IN TELEGRAM
Youtube тестирует поиск с AI
YouTube начал тестировать Ask YouTube — поиск с ИИ, где можно задавать вопросы обычным языком и получать не список ссылок, а готовую подборку видео и фрагментов.
Фича уже доступна в США и работает на сложные запросы: если нужно, ИИ уточняет вопрос и подсказывает следующий шаг.
Что это значит для поиска на YouTube и когда новинка дойдёт до других…
➡️ Читайте на сайте: https://aff.top/blog/youtube-testiruet-poisk-s-ai
🧠 Ещё больше инсайтов → в канале AFF.top
YouTube начал тестировать Ask YouTube — поиск с ИИ, где можно задавать вопросы обычным языком и получать не список ссылок, а готовую подборку видео и фрагментов.
Фича уже доступна в США и работает на сложные запросы: если нужно, ИИ уточняет вопрос и подсказывает следующий шаг.
Что это значит для поиска на YouTube и когда новинка дойдёт до других…
➡️ Читайте на сайте: https://aff.top/blog/youtube-testiruet-poisk-s-ai
🧠 Ещё больше инсайтов → в канале AFF.top
Forwarded from AFF.TOP
This media is not supported in your browser
VIEW IN TELEGRAM
Z.ai анонсировала новую GLM-5.5
Z.ai готовит релиз флагманской GLM-5.5: модель обещают показать в августе 2026 года.
Главная интрига — рост до 1 трлн параметров при том же контекстном окне в 1 млн токенов. Новинка снова будет заточена под код и агентные задачи.
Почему версия сразу 5.5, без 5.3 и 5.4, и что это может означать для рынка — в блоге.
➡️ Читайте на сайте: https://aff.top/blog/z-ai-anonsirovala-novuiu-glm-5-5
🧠 Ещё больше инсайтов → в канале AFF.top
Z.ai готовит релиз флагманской GLM-5.5: модель обещают показать в августе 2026 года.
Главная интрига — рост до 1 трлн параметров при том же контекстном окне в 1 млн токенов. Новинка снова будет заточена под код и агентные задачи.
Почему версия сразу 5.5, без 5.3 и 5.4, и что это может означать для рынка — в блоге.
➡️ Читайте на сайте: https://aff.top/blog/z-ai-anonsirovala-novuiu-glm-5-5
🧠 Ещё больше инсайтов → в канале AFF.top
Vercel для фронтенда: когда он ускоряет запуск, а когда добавляет лишний слой
Vercel удобен там, где нужен быстрый путь от репозитория до публичного URL: автодеплой, preview-окружения, простая связка с Git и понятный workflow для команды.
Но перед выбором полезно проверить 3 вещи:
— где будет жить backend и как он общается с фронтендом;
— нужен ли контроль над инфраструктурой и сетевыми настройками;
— не завязаны ли вы на функции платформы, которые потом сложно заменить.
Для небольших и средних web-приложений Vercel часто экономит время на рутине: меньше ручной сборки, проще ревью, быстрее показывать изменения продукту. Для монорепозиториев и команд с несколькими окружениями это тоже может быть удобной точкой входа.
Слабое место появляется, когда проекту нужны нестандартные маршруты, сложная обработка запросов, длинные фоновые задачи или тесная интеграция с внутренней инфраструктурой. Тогда платформа становится не ускорителем, а ещё одним уровнем абстракции.
Если коротко: Vercel хорош как слой доставки для фронтенда, но перед стартом проверьте, не превращает ли он простую схему в зависимость от конкретного workflow.
Vercel удобен там, где нужен быстрый путь от репозитория до публичного URL: автодеплой, preview-окружения, простая связка с Git и понятный workflow для команды.
Но перед выбором полезно проверить 3 вещи:
— где будет жить backend и как он общается с фронтендом;
— нужен ли контроль над инфраструктурой и сетевыми настройками;
— не завязаны ли вы на функции платформы, которые потом сложно заменить.
Для небольших и средних web-приложений Vercel часто экономит время на рутине: меньше ручной сборки, проще ревью, быстрее показывать изменения продукту. Для монорепозиториев и команд с несколькими окружениями это тоже может быть удобной точкой входа.
Слабое место появляется, когда проекту нужны нестандартные маршруты, сложная обработка запросов, длинные фоновые задачи или тесная интеграция с внутренней инфраструктурой. Тогда платформа становится не ускорителем, а ещё одним уровнем абстракции.
Если коротко: Vercel хорош как слой доставки для фронтенда, но перед стартом проверьте, не превращает ли он простую схему в зависимость от конкретного workflow.
Forwarded from AFF.TOP
This media is not supported in your browser
VIEW IN TELEGRAM
Telegram запустил собственный сервер для ботов
Telegram запустил собственный сервер для ботов и мани-приложений: теперь backend можно размещать прямо внутри инфраструктуры мессенджера.
Сервер работает на JavaScript/TypeScript, через вебхуки, и позволяет подключать SQL-базу для сбора контактов без посредников.
Пока неясны цена и ограничения — что именно уже можно тестировать, а где скрыт подв…
➡️ Читайте на сайте: https://aff.top/blog/telegram-zapustil-sobstvennyi-server-dlia-botov
🧠 Ещё больше инсайтов → в канале AFF.top
Telegram запустил собственный сервер для ботов и мани-приложений: теперь backend можно размещать прямо внутри инфраструктуры мессенджера.
Сервер работает на JavaScript/TypeScript, через вебхуки, и позволяет подключать SQL-базу для сбора контактов без посредников.
Пока неясны цена и ограничения — что именно уже можно тестировать, а где скрыт подв…
➡️ Читайте на сайте: https://aff.top/blog/telegram-zapustil-sobstvennyi-server-dlia-botov
🧠 Ещё больше инсайтов → в канале AFF.top
Forwarded from AFF.TOP
This media is not supported in your browser
VIEW IN TELEGRAM
Google картинки станут конкурентом Pinterest
Google Картинки начали превращать в полноценную платформу с персональной лентой по прошлым запросам — по сути, в аналог Pinterest.
Во вкладке For you уже тестируют подборки, а ещё обещают коллекции и генерацию изображений во встроенной Nano Banana.
Как это будет работать и когда новинка дойдёт до других стран — в блоге.
➡️ Читайте на сайте: https://aff.top/blog/google-kartinki-stanut-konkurentom-pinterest
🧠 Ещё больше инсайтов → в канале AFF.top
Google Картинки начали превращать в полноценную платформу с персональной лентой по прошлым запросам — по сути, в аналог Pinterest.
Во вкладке For you уже тестируют подборки, а ещё обещают коллекции и генерацию изображений во встроенной Nano Banana.
Как это будет работать и когда новинка дойдёт до других стран — в блоге.
➡️ Читайте на сайте: https://aff.top/blog/google-kartinki-stanut-konkurentom-pinterest
🧠 Ещё больше инсайтов → в канале AFF.top
Стартап ломается не на идее, а на первых решениях: 5 проверок до запуска
Идея сама по себе почти ничего не стоит. На раннем этапе важнее понять, где будет боль пользователя, как он сейчас решает задачу и почему выберет вас, а не привычный workaround.
Проверьте базу:
— есть ли у продукта один понятный сценарий использования;
— можно ли объяснить ценность в одном предложении;
— есть ли канал, где вы реально достанете первых пользователей;
— можно ли собрать MVP без лишних фич;
— есть ли у команды запас на длинный цикл тестов и правок.
Частая ошибка — строить «платформу» раньше, чем появляется стабильный спрос. Ещё одна — мерить успех количеством функций, а не тем, возвращается ли пользователь к продукту и решает ли задачу быстрее.
Полезный фильтр простой: если за 30 секунд нельзя объяснить проблему, аудиторию и первый шаг к оплате, старт лучше упростить. В стартапе выигрывает не самый большой план, а самый ясный следующий шаг.
Идея сама по себе почти ничего не стоит. На раннем этапе важнее понять, где будет боль пользователя, как он сейчас решает задачу и почему выберет вас, а не привычный workaround.
Проверьте базу:
— есть ли у продукта один понятный сценарий использования;
— можно ли объяснить ценность в одном предложении;
— есть ли канал, где вы реально достанете первых пользователей;
— можно ли собрать MVP без лишних фич;
— есть ли у команды запас на длинный цикл тестов и правок.
Частая ошибка — строить «платформу» раньше, чем появляется стабильный спрос. Ещё одна — мерить успех количеством функций, а не тем, возвращается ли пользователь к продукту и решает ли задачу быстрее.
Полезный фильтр простой: если за 30 секунд нельзя объяснить проблему, аудиторию и первый шаг к оплате, старт лучше упростить. В стартапе выигрывает не самый большой план, а самый ясный следующий шаг.
Forwarded from AFF.TOP
This media is not supported in your browser
VIEW IN TELEGRAM
Россияне не смогут покупать стейблкоины
Россиянам могут закрыть доступ к покупке стейблкоинов: в новой версии закона их приравняли к иностранным активам.
Купить такие токены смогут только квалифицированные инвесторы — например, с активами от 24 млн рублей или доходом от 12 млн в год.
Что это значит для обычных пользователей и когда правило заработает — в блоге.
➡️ Читайте на сайте: https://aff.top/blog/rossiiane-ne-smogut-pokupat-steiblkoiny
🧠 Ещё больше инсайтов → в канале AFF.top
Россиянам могут закрыть доступ к покупке стейблкоинов: в новой версии закона их приравняли к иностранным активам.
Купить такие токены смогут только квалифицированные инвесторы — например, с активами от 24 млн рублей или доходом от 12 млн в год.
Что это значит для обычных пользователей и когда правило заработает — в блоге.
➡️ Читайте на сайте: https://aff.top/blog/rossiiane-ne-smogut-pokupat-steiblkoiny
🧠 Ещё больше инсайтов → в канале AFF.top
23-24 июля встречаемся в Лимассоле! 🔥
Команда AdsCard врывается на Conversion Conf в статусе HOOKAH LOUNGE SPONSOR! Мы готовим для вас идеальное пространство для неформального общения и обсуждения серьезных дел.
Ищете платежное решение, которое не подведет в самый ответственный момент? Хотите масштабировать свои рекламные кампании без головной боли? Давайте обсудим это в расслабленной атмосфере.
Что ждет вас в нашей лаунж-зоне?
0️⃣ Поделимся инсайдами и свежими кейсами по заливу с наших карт на самых требовательных источниках.
0️⃣ Обсудим наши эксклюзивные условия для команд и расскажем, как получить максимум от нашего сервиса.
0️⃣ Познакомим с топами индустрии, угостим дымным кальяном и просто отлично проведем время.
Присоединяйтесь к нам, чтобы совместить приятное с полезным: качественный нетворкинг и эффективные платежные решения.
📍 Где искать: Parklane Hotel, HOOKAH LOUNGE от AdsCard
Ждем всех на Conversion Conf для незабываемого ивента и крутых знакомств! До встречи! 😎
Команда AdsCard врывается на Conversion Conf в статусе HOOKAH LOUNGE SPONSOR! Мы готовим для вас идеальное пространство для неформального общения и обсуждения серьезных дел.
Ищете платежное решение, которое не подведет в самый ответственный момент? Хотите масштабировать свои рекламные кампании без головной боли? Давайте обсудим это в расслабленной атмосфере.
Что ждет вас в нашей лаунж-зоне?
Присоединяйтесь к нам, чтобы совместить приятное с полезным: качественный нетворкинг и эффективные платежные решения.
📍 Где искать: Parklane Hotel, HOOKAH LOUNGE от AdsCard
Ждем всех на Conversion Conf для незабываемого ивента и крутых знакомств! До встречи! 😎
Please open Telegram to view this post
VIEW IN TELEGRAM
Frontend-проект ломается не из-за React или CSS, а из-за базовых ошибок в процессе
Главное в frontend — не гнаться за количеством компонентов, а держать проект в предсказуемом состоянии. Иначе даже простой экран превращается в набор исключений, ручных правок и обходных путей.
Что проверять в любом коде:
— единые правила для стилей, именования и структуры папок;
— разделение UI, логики и запросов к данным;
— понятные границы компонентов: один компонент — одна задача;
— обработку ошибок, загрузки и пустых состояний;
— доступность: фокус, контраст, клавиатура, подписи.
На практике проблемы часто начинаются там, где компонент знает слишком много: ходит в API, хранит состояние, рисует шаблон и принимает бизнес-решения. Такой код трудно тестировать, переиспользовать и менять без побочных эффектов.
Ещё один частый провал — отсутствие договорённостей в команде. Если каждый пишет стили, сетку и работу с данными по-своему, фронтенд быстро становится дорогим в поддержке. Лучше заранее зафиксировать шаблоны, паттерны и правила ревью.
Держите frontend простым: меньше скрытой логики, больше явных границ и одинаковых решений для типовых задач. Это экономит время
Главное в frontend — не гнаться за количеством компонентов, а держать проект в предсказуемом состоянии. Иначе даже простой экран превращается в набор исключений, ручных правок и обходных путей.
Что проверять в любом коде:
— единые правила для стилей, именования и структуры папок;
— разделение UI, логики и запросов к данным;
— понятные границы компонентов: один компонент — одна задача;
— обработку ошибок, загрузки и пустых состояний;
— доступность: фокус, контраст, клавиатура, подписи.
На практике проблемы часто начинаются там, где компонент знает слишком много: ходит в API, хранит состояние, рисует шаблон и принимает бизнес-решения. Такой код трудно тестировать, переиспользовать и менять без побочных эффектов.
Ещё один частый провал — отсутствие договорённостей в команде. Если каждый пишет стили, сетку и работу с данными по-своему, фронтенд быстро становится дорогим в поддержке. Лучше заранее зафиксировать шаблоны, паттерны и правила ревью.
Держите frontend простым: меньше скрытой логики, больше явных границ и одинаковых решений для типовых задач. Это экономит время
7 типовых ошибок при выборе dev tools — и как не купить лишнюю сложность
Когда в команде выбирают инструмент, чаще всего смотрят на список функций и пропускают рабочие детали. В итоге продукт подходит на демо, но начинает тормозить процессы в реальной разработке.
— Сложный онбординг: если базовый сценарий нельзя повторить за 10–15 минут, инструмент будет простаивать.
— Закрытый формат данных: экспорт, миграция и бэкап должны быть понятны до внедрения.
— Слабая интеграция: IDE, CI/CD, трекеры, облако и SSO лучше проверить заранее.
— Нет понятной модели прав: в dev tools это быстро превращается в лишние ручные согласования.
Отдельно смотрят на поддержку команды: документация, поиск по ошибкам, удобство локального запуска и поведение при сбоях. Если для обычной задачи нужен обходной путь, инструмент начнёт съедать время у инженеров.
Ещё один фильтр — реальная стоимость владения. Считают не только внедрение, но и сопровождение: обновления, обучение, перенос данных, контроль доступа, наблюдаемость и ручные операции.
Хороший выбор в dev_saas и dev_tools — это не самый богатый интерфейс, а минимальное число шагов до результата. Перед внедрением прог
Когда в команде выбирают инструмент, чаще всего смотрят на список функций и пропускают рабочие детали. В итоге продукт подходит на демо, но начинает тормозить процессы в реальной разработке.
— Сложный онбординг: если базовый сценарий нельзя повторить за 10–15 минут, инструмент будет простаивать.
— Закрытый формат данных: экспорт, миграция и бэкап должны быть понятны до внедрения.
— Слабая интеграция: IDE, CI/CD, трекеры, облако и SSO лучше проверить заранее.
— Нет понятной модели прав: в dev tools это быстро превращается в лишние ручные согласования.
Отдельно смотрят на поддержку команды: документация, поиск по ошибкам, удобство локального запуска и поведение при сбоях. Если для обычной задачи нужен обходной путь, инструмент начнёт съедать время у инженеров.
Ещё один фильтр — реальная стоимость владения. Считают не только внедрение, но и сопровождение: обновления, обучение, перенос данных, контроль доступа, наблюдаемость и ручные операции.
Хороший выбор в dev_saas и dev_tools — это не самый богатый интерфейс, а минимальное число шагов до результата. Перед внедрением прог