Выпуск №3
Октябрь 2025
Цена: бесплатно
как и всё на host.pink
Ежемесячная газета тех, кто держит ноды, панели и нервы · выходит по мере блокировок
Октябрь 2025Сообщество Bedolaga Social Clubhost.pink/gazeta
Погода в ТСПУ. Над платёжками туман без подписи: вебхуки прилетают откуда угодно. Туннель Cloudflare из РФ не проходит, спидтесты под запретом, поэтому скорость ветра измерить не удалось. У Aeza почти все подсети в бане, в Нидерландах с утра отвал, это у них частая погода. Платёжки В октябре выяснилось, что у MulenPay хуки приходят без подписи, а Pal24 не требует секрета вебхука. Фейковый хук мог пополнить баланс в боте, и платёжные интеграции пришлось латать весь месяц. Уязвимость MulenPay: хуки без подписи позволяли фейковыми запросами пополнять баланс, то есть подделывать платежи. 4 октября Bedolaga v2.4.3 добавила детальное логирование хуков MulenPay. У Pal24 похожая история: секрет вебхука не нужен, тестовые фейк-хуки проходили с любым токеном. Сами платёжки тем временем меняли правила. MulenPay переходит на URLPay (юрлицам Мулен, физлицам URLPay), новых мерчантов не подключают и просят «ждать переноса», а хук URLPay бот не ловит. WATA начал брать $500 за подключение, Pal24 игнорирует заявки. У Pal24 и URLPay вебхук отдавал 502, и после ручной проверки деньги не зачислялись. Итог подвела Bedolaga v2.5.6 от 26 октября: сервис проверки транзакций с автопроверкой каждые 10 минут, автопокупка подписки после пополнения и доработанная обработка вебхуков всех платёжек.Вебхуки без подписи: баланс пополнялся фейковым запросом