В публичный релиз вышел Fable 5.1

➡️ Читайте на сайте: https://aff.top/blog/v-publichnyi-reliz-vyshel-fable-5-1

🧠 Ещё больше инсайтов → в канале AFF.top

Безопасность кода плагина: 7 мест, где чаще всего прячутся дыры

В WordPress-плагинах уязвимости обычно появляются не в «сложной логике», а в типовых местах: формы, AJAX, REST, загрузка файлов, запросы к БД. Если проверять только бизнес-логику, можно пропустить самое опасное.

Смотрите на код по этому чек-листу:
• все входные данные проходят валидацию и sanitization;
• для действий, меняющих данные, есть nonce и проверка прав;
• SQL строится через prepare, а не через склейку строк;
• вывод в HTML экранируется по контексту;
• файлы нельзя загрузить туда, где их можно исполнить;
• AJAX и REST не открыты «для всех» без необходимости;
• секреты, токены и ключи не лежат в коде в открытом виде.

Отдельно проверьте места, где данные переходят между контекстами: из формы в БД, из БД в шаблон, из запроса в админку. Именно там чаще всего забывают про escape, и один пропущенный вызов превращается в XSS или SQL-инъекцию.

Полезная привычка: перед релизом проходить плагин не по файлам, а по сценариям атаки — «что будет, если сюда пришлют мусор, чужой ID или HTML». Такой просмотр ловит больше ошибок, чем поверхностный код-ревью.

1xBet перестал спонсировать эмоции

История о том, как казахстанцы зарегистрировали рекламный слоган 1xBet, а сам бренд оказался в юридической ловушке: после сделки с TonyBet права на товарный знак так и не выкупили. На фоне ареста активов Романа Семиохина и уголовного дела по азартным играм вывод простой: с 1xBet сейчас лучше не строить рекламные связки на рынке Казахстана.

➡️ Читайте на сайте: https://aff.top/blog/1xbet-perestal-sponsirovat-emocii

🧠 Ещё больше инсайтов → в канале AFF.top

За продажу аккаунтов в мессенджере теперь грозит статья

С 1 сентября 2026 года продажа аккаунтов соцсетей и мессенджеров в России стала уголовно и административно рискованной: штраф до 700 тысяч рублей, принудительные работы или лишение свободы до 2–3 лет. Если через аккаунт украдут деньги, продавца могут записать в соучастники мошенничества по ст. 159 УК РФ с риском до 10 лет.

➡️ Читайте на сайте: https://aff.top/blog/za-prodazhu-akkauntov-v-messendzhere-teper-grozit-statia

🧠 Ещё больше инсайтов → в канале AFF.top

Google выпустил в релиз Gemini 3.8 flash

Google выпустил Gemini 3.8 Flash спустя две недели после 3.7: модель обещает сильный кодинг и быстрый отклик, а цена остаётся низкой — $0,75 за млн входящих токенов и $3,75 за млн исходящих. Вывод простой: пока Google демпингует, это выгодный вариант для тех, кому нужны дешёвые и быстрые нейросетевые запросы.

➡️ Читайте на сайте: https://aff.top/blog/google-vypustil-v-reliz-gemini-3-8-flash

🧠 Ещё больше инсайтов → в канале AFF.top

Безопасность кода в плагине: 7 мест, где чаще всего прячется уязвимость

Начинают обычно с мелочей: вывод данных без экранирования, запросы к базе без подготовки и сохранение пользовательского ввода «как есть». Для плагина это быстрый путь к XSS, SQL-инъекциям и порче настроек.

Проверь эти точки в каждом модуле:
— все значения из формы проходят sanitization
— все данные перед выводом экранируются
— SQL строится через prepare, а не через склейку строк
— nonce стоит на всех действиях, меняющих данные
— права пользователя проверяются до любого опасного действия

Отдельно смотри на AJAX и REST-обработчики: там часто забывают про проверку capability и принимают лишние параметры. Ещё одна частая ошибка — доверять данным из GET, POST, cookie и meta-записей без валидации. Безопасный код не должен надеяться на «нормальный» вход.

Перед релизом прогоняй плагин по одному вопросу: может ли чужой пользователь заставить код сделать то, что не предусмотрено? Если ответ неочевиден — значит, место для правки уже найдено.

Яндекс запустил сервис ПроБлогер

Яндекс запустил ПроБлогер — платформу для монетизации небольших каналов и групп во ВКонтакте, Дзене, Максе, Telegram, YouTube и Rutube. Для модерации нужны от 1000 подписчиков, свежие публикации, статус самозанятого, ИП или юрлица и соблюдение закона. Доход доступен через автопостинг с оплатой за просмотры и партнёрские ссылки; CPM можно задать самому или отдать аукциону.

➡️ Читайте на сайте: https://aff.top/blog/iandeks-zapustil-servis-probloger

🧠 Ещё больше инсайтов → в канале AFF.top

Google ads упростил перенос креативов из Asset Studio

➡️ Читайте на сайте: https://aff.top/blog/google-ads-uprostil-perenos-kreativov-iz-asset-studio

🧠 Ещё больше инсайтов → в канале AFF.top

Настройки плагина WordPress, которые ломают сайт чаще всего

Проблемы обычно начинаются не в коде, а в панели настроек. Перед включением плагина проверьте 4 вещи: совместимость с вашей задачей, способ хранения данных, влияние на кэш и наличие отдельной страницы настроек. Если плагин меняет контент, формы или запросы к базе, тестируйте его на копии сайта.

— Не оставляйте включенными все опции подряд: лишние флаги часто создают лишние запросы и конфликты.
— Ищите настройки, которые дублируют функции темы или другого плагина.
— Сохраняйте исходные значения перед изменением: это ускорит откат.
— Если есть режим отладки, включайте его только на время проверки 🛠

Отдельно смотрите на права доступа. Настройки должны менять только те роли, которым это действительно нужно. Иначе админка превращается в источник случайных правок, а потом сложно понять, кто и что сломал.

Хорошее правило простое: сначала минимальная конфигурация, потом по одной включенной опции за раз. Так вы быстро находите конфликт и не гадаете, какая галочка испортила поведение сайта.

База данных плагина: 5 ошибок, которые потом ломают и скорость, и поддержку

Если плагин хранит данные в WordPress, не лепите всё в одну таблицу с кучей колонок. Нормально разделяйте сущности: настройки, события, связи, кеш. Так запросы становятся проще, а поиск по данным — предсказуемее.

• не используйте длинный текст там, где хватает короткого поля;
• ставьте индексы только на те колонки, по которым реально фильтруете;
• не делайте сложные JOIN в каждом открытии админки;
• проверяйте, можно ли часть данных вынести в transient или options.

Частая ошибка — хранить служебные данные без схемы и потом искать их через LIKE. Это быстро превращает админку в тормоз, а миграции — в ручную боль. Лучше сразу продумать ключи записей, типы полей и сценарий удаления при деактивации плагина.

Ещё одна проблема — отсутствие защиты от дубликатов. Если событие или заказ уже есть, запись должна обновляться, а не плодиться. Используйте уникальный идентификатор и проверку перед insert, иначе база тихо разрастается мусором.

Чем аккуратнее схема данных на старте, тем меньше переписывать потом: плагин проще сопровождать, а запросы остаются быстрыми и понятными.

Локализация плагина: 5 ошибок, из-за которых перевод ломается в проде

Локализация — это не только .po/.mo, а дисциплина: строка должна быть готова к переводу, выводу и обновлению без сюрпризов.

— Не хардкодьте текст в шаблонах и JS: строка должна проходить через функции перевода, иначе переводчик её не увидит.
— Используйте осмысленный text domain везде одинаково: в заголовке плагина, файлах и вызовах переводов.
— Не склеивайте фразы из кусочков: в языках порядок слов меняется, и такая строка плохо переводится.
— Для чисел, дат и имён используйте отдельные форматы и plural-функции, а не один шаблон на все случаи.
— Добавляйте контекст, если одно и то же слово может значить разное: без него перевод часто получается неверным.

Отдельно проверьте экранирование: переводимые строки должны быть безопасны там, где выводится HTML, атрибуты или ссылки. И не забывайте, что локализация касается не только интерфейса, но и ошибок, уведомлений и писем.

Перед релизом прогоните плагин по списку строк и посмотрите, можно ли собрать интерфейс полностью на другом языке. Если нет — где-то остался хардкод или слишком “умная” строка.

Telegram serverless вышел в открытый бета-тест

Telegram запустил serverless-серверы для ботов, но в CPA и iGaming-задачах они полезны только для простых webhook-сценариев: приветствие, короткий диалог, выдача ссылки. Для приёма заявок, публичных URL и работы с медиа функция не подходит, поэтому практической пользы для вайт-проектов и Tg Ads почти нет.

➡️ Читайте на сайте: https://aff.top/blog/telegram-serverless-vyshel-v-otkrytyi-beta-test

🧠 Ещё больше инсайтов → в канале AFF.top

Локализация плагина: 5 ошибок, из-за которых интерфейс ломается у пользователей

Локализация — это не просто перевод строк. В плагине важно заранее продумать, где текст будет меняться, а где должен оставаться фиксированным: названия брендов, кодовые значения, служебные подписи.

Главные ошибки:
— жёстко вписывать текст прямо в шаблон, а не выносить его в функции перевода;
— забывать про контекст: одно слово может переводиться по-разному;
— использовать переменные внутри строки без подготовки;
— не проверять длину фраз: в некоторых языках интерфейс «расползается»;
— оставлять строки без домена перевода, если проект крупный. ⚙️

Для WordPress-плагина базовый набор — __(), _e(), esc_html__() и esc_attr__(). Если строка выводится в HTML, экранирование должно идти рядом с переводом. Если текст вставляется в атрибут или кнопку, проверь, не ломает ли перевод разметку и верстку.

Отдельно проверь числа, даты и формы множественного числа. Плохо переведённая строка в админке часто заметна сильнее, чем на сайте: пользователь сразу видит, где логика не совпадает с языком.

Хорошая локализация начинается не после написания плагина, а в момент проектирования интерфейса: если строку нельзя удобно перевести, её лучше переписать сразу.

Компании запретили использовать название Twitter, но разрешили символику

Суд в Делавере запретил стартапу использовать бренд Twitter: посчитал, что это вводит в заблуждение и нарушает права X на товарный знак. При этом X не удалось заблокировать слово Tweet и старый логотип с птицей — суд счёл, что после ребрендинга в X эти марки фактически заброшены. Решение пока предварительное и может быть оспорено.

➡️ Читайте на сайте: https://aff.top/blog/kompanii-zapretili-ispolzovat-nazvanie-twitter-no-razreshili-simvoliku

🧠 Ещё больше инсайтов → в канале AFF.top

ChatGPT сможет общаться вместо тебя

OpenAI тестирует Writing Style: ChatGPT сможет изучать манеру письма и отвечать в стиле пользователя в Slack, Gmail и мессенджерах. Это усиливает персонализацию и снимает рутину общения, но компания одновременно режет риск копирования узнаваемых авторских стилей, чтобы не конфликтовать с правами и IP.

➡️ Читайте на сайте: https://aff.top/blog/chatgpt-smozhet-obschatsia-vmesto-tebia

🧠 Ещё больше инсайтов → в канале AFF.top

Facebook начал считать успешные и провальные платежи

Meta добавила в Facebook Manager счётчик статусов платежей в billings, чтобы не проверять транзакции вручную. Для арбитражников и iGaming это почти бесполезно: нужные данные по биллингу всё равно видны в платёжке, а нововведение больше актуально для белых рекламных аккаунтов с моделью ежемесячных списаний.

➡️ Читайте на сайте: https://aff.top/blog/facebook-nachal-schitat-uspeshnye-i-provalnye-platezhi

🧠 Ещё больше инсайтов → в канале AFF.top

Локализация плагина: 5 ошибок, из-за которых перевод ломает интерфейс

Локализация в WordPress — это не просто перевести строки, а сохранить смысл, длину и логику интерфейса. Если игнорировать контекст, кнопки начинают «прыгать», а пользователи видят странные фразы вместо нормальных подсказок.

— Не выносите в перевод склеенные фразы. Лучше передавать в gettext完整ные предложения, чем собирать текст из кусочков.
— Учитывайте множественное число: один шаблон для всех случаев почти всегда даёт кривой результат.
— Не переводите технические термины «как звучит». Иногда лучше оставить ключевое слово на английском, чем сделать неузнаваемый текст.
— Добавляйте контекст через _x() и комментарии для переводчика, если строка может читаться по-разному.
— Проверяйте длину строк: в некоторых языках текст заметно длиннее и может сломать верстку.

Отдельно следите за плейсхолдерами: %s, %d и порядок аргументов должны совпадать в исходнике и переводе. Иначе ошибка всплывёт не в коде, а у пользователя на экране.

Хорошая локализация — это когда перевод не просто «есть», а не мешает работать с плагином. Перед релизом прогоняйте интерфейс в разных языках и ищите не только ошибки перевода, но и поломку UI.