Публичный дейтинг не равен утечке данных

Лайк через API

API, который позволяет участнику лайкнуть публичную анкету, выполняет свою работу

В открытом дейтинге пользователь должен иметь возможность выразить симпатию другому участнику. Кнопка на экране в любом случае отправляет запрос в API. Повторить этот запрос техническим клиентом - не магический обход продукта, а другой способ обратиться к тому же серверу.

Реальная проверка начинается дальше: запрос должен быть авторизован, инициатор должен быть действующим пользователем, а серверные ограничения должны применяться независимо от интерфейса. В текущем Mimolet реакции проходят через авторизованный серверный маршрут и ограничены тарифом: 60, 250, 500 или 1200 действий в день.

Поэтому фраза "через API можно лайкнуть человека" звучит грозно только до перевода на обычный язык: "сервис знакомств позволяет поставить лайк". Именно для этого сервис и существует.

Автоматизированный сбор

Скрейпинг существует везде. Вопрос не в его существовании, а в цене и масштабе

Публичные страницы и ленты автоматизируют в соцсетях, маркетплейсах, поисковиках, мессенджерах и дейтингах. Абсолютного технического запрета не существует: автоматизация может имитировать действия реального пользователя. Поэтому зрелая защита не обещает невозможного, а повышает стоимость злоупотребления через авторизацию, непредсказуемые идентификаторы, лимиты, поведенческие сигналы и блокировки.

Исторический отрицательный offset, на котором построена значительная часть рассказа, отсутствует. Названный feed_classic_api.php больше не обслуживает продукт и возвращает 404. Текущая лента без авторизации возвращает 401. Переносить старый сценарий на нынешнюю архитектуру - не анализ текущего Mimolet, а описание удаленного кода.

История против настоящего

Старые PHP-файлы не являются текущей архитектурой Mimolet

Статья многократно возвращается к одним и тем же маршрутам и создает из повторения ощущение масштаба. Но три имени файлов не превращаются в три независимые проблемы, а удаленная точка входа не становится текущим API только потому, что скриншот остался в посте.

Это не попытка переписать прошлое: текущий 404 сам по себе не доказывает, что было в день теста. Он доказывает более скромный и важный факт - описанный путь нельзя честно выдавать за сегодняшнее состояние продукта.

Premium без фокусов

Поставить лайк известной анкете и раскрыть входящие лайки - разные действия

Статья называет "обходом Premium" возможность лайкнуть уже известного пользователя. Но подписка дает доступ к механике входящих реакций: узнать, кто лайкнул вас, и работать с этой вкладкой. Она не продает исключительное право выражать симпатию человеку, которого вы уже увидели в публичной части сервиса.

Текущий бесплатный ответ вкладки входящих лайков не раскрывает настоящий ID, имя или исходную ссылку фотографии. Массовый ответ проверяет подписку на сервере. Смешение "поставить лайк" и "раскрыть входящий лайк" создает эффектный абзац, но не доказывает обход платной функции.

Сессии и блокировки

Несколько сессий не равны session fixation, а IP не равен человеку

Session fixation - конкретная атака, где жертве навязывают заранее известный идентификатор сессии. Пять входов с пяти устройств показывают только то, что сервис допускает несколько сессий. Это обычная практика для телефона, компьютера и Telegram Web, а не доказательство захвата чужого аккаунта.

Предложенная в статье жесткая привязка к IP ломает мобильные сети, CGNAT и VPN. В текущем API заблокированный пользователь проверяется при каждом авторизованном запросе. Вот это содержательная граница. Требование "один IP = один человек" к ней отношения не имеет.