Highlights
Auto ist diese Woche in Produktion gegangen. Übergib eine beliebige URL und es durchläuft eine kostenbewusste Leiter (Probe, Exit finden, Browser-Solve, günstiger Replay) und gibt den Inhalt sowie die zugehörige Session zurück. Ein kalter Cloudflare Turnstile-Solve auf minfin.bg dauert über Auto etwa 5 Sekunden. Der nächste Aufruf erfolgt als Replay über Single für 2 Credits. Wir haben außerdem 6 Sprachen für Blog, Docs und Updates-Portal hinzugefügt, wodurch wir von 7 auf 13 kommen.
Was gibt es Neues
Auto: ein Endpoint, vier Produkte, kostenbewusst
POST /api/auto ist live. Du übergibst eine URL und es wählt das richtige Produkt (Single, Proxy Finder oder Browser), bewältigt Cloudflare-Herausforderungen, wenn sie auftauchen, und liefert die Response plus ein session-Objekt mit der funktionierenden Proxy-ID, Cookies und User-Agent zurück. Nutze die zurückgegebene Session beim nächsten Aufruf wieder und Auto führt ein Replay über Single für 2 Credits durch, anstatt einen neuen Solve zu erzwingen.
Jede Response enthält nun einen meta-Trace. So siehst du, welche Stufe gewonnen hat, ob eine Abwehr gelöst wurde, wie viele Sub-Aufrufe nötig waren und wie viele Credits insgesamt verbraucht wurden. Bringe deine eigenen validate-Regeln mit. Auto wendet sie auf jeder Stufe an, nicht nur auf der letzten. Eine Geo-Block-Seite, die mit Transport-Status 200 zurückgegeben wird, zählt somit nicht mehr wie früher als Erfolg.
Der Dashboard-Playground hat einen Auto-Tab erhalten, in dem timeout_ms, ignoreProxies, returnSession und forceProxy verdrahtet sind. So kannst du Auto über ein Formular steuern, bevor du es in deinen Code einbaust.
6 neue Sprachen
Spanisch, Französisch, Japanisch, Koreanisch, Brasilianisches Portugiesisch und Russisch wurden für Blog, Docs und Updates-Portal hinzugefügt. Das bringt uns auf unseren öffentlichen Seiten von 7 auf 13 Sprachen. Der Inhalt wird durch eine rollenbasierte Pipeline übersetzt. Navigationslabels erhalten einen Prompt für Kürze vor Wörtlichkeit, damit die Seitenleiste schmal bleibt. Beitragsrümpfe erhalten einen Prompt zur Erhaltung von Markdown, damit Codeblöcke und Überschriften intakt bleiben.
Der Sprachumschalter wurde ebenfalls neu gebaut. Flaggen sind verschwunden (die spanische Flagge verprellt die anderen 20 spanischsprachigen Länder, und die gleiche Logik gilt für Portugiesisch, Arabisch und Englisch). Native Namen dienen nun als Signal. Jede Option zeigt auch ihren Namen in der aktiven UI-Sprache an. So findest du "Deutsch" in einem bulgarischen Browser als "немски". Tippe in das Suchfeld oben, um die 13 Locales auf das gewünschte zu filtern. Nutze die Pfeiltasten zum Bewegen, drücke Enter zum Wechseln. Jede Option ist ein echtes <a href> mit hreflang und lang. Suchmaschinen und KI-Crawler können so jeder Sprachversion folgen.
Cloudflare-Handling: was tatsächlich repariert wurde
Auto bewältigt nun vier Cloudflare-Situationen, die früher die falsche Response geleakt haben:
- Das "Just a moment"-Interstitial, das mit Transport-Status 200 ausgeliefert wird, zählt nicht mehr als Erfolg. Auto eskaliert zu einer Solve-Stufe, anstatt dir die Challenge-Seite zu übergeben.
- Nicht-interaktive Herausforderungen (der "Checking your browser" Auto-Pass von marathonbet) rendern nach der Freigabe clientseitig. Browser fragt das Live-DOM ab und schließt in dem Moment ab, in dem
cf_clearancelandet, anstatt bei einer leeren Top-Level-Response in einen Timeout zu laufen. - Der echte Status nach der Freigabe wird berücksichtigt. Ein Geo-Block, den Cloudflare nach bestandener Herausforderung ausliefert, gibt 451 zurück, nicht 200 mit einem verdächtigen Body.
- Interaktives Turnstile (minfin.bg) wird durchgehend gelöst. Auto versucht zuerst einen Browser-Solve mit direktem Egress (ein vertrauenswürdiger Egress-Endpoint besteht Turnstile, wo bei kostenlosen Datencenter-Exits die Herausforderung eskaliert wird), und fällt dann auf den Proxy-Grind zurück, falls das fehlschlägt.
MCP: foura_auto und öffentliche Discovery
Der MCP-Server hat ein foura_auto-Tool aufgenommen, das /api/auto spiegelt. Übergib eine URL, erhalte Inhalt und eine Session zurück. Discovery (Tools, Prompts, Capabilities) ist nun unauthentifiziert. Agents können so vor der Authentifizierung browsen, und die /llms.txt-Map wird am Root-Level geproxt. Die Landingpage ist für Link Equity nach foura.ai/mcp umgezogen, und die Subdomain leitet Browser per 301 dorthin weiter.
Unter der Haube
Wir haben die SSRF-Grenze um die Fetcher gestrafft. Eine Egress-Firewall auf Kernel-Ebene blockiert die beiden Request-auslösenden Services dabei, Verbindungen zu privaten, CGNAT-, Link-Local- und Cloud-Metadaten-Bereichen zu öffnen. Die Prüfung auf App-Ebene deckte die URL bereits ab. Nun können auch die tieferliegenden Pfade nichts mehr vorbeischleusen. Das proxy-Feld eines Requests wird genauso behandelt: ein vom Client gelieferter Proxy-Host, der zu einer privaten Adresse auflöst, wird abgewiesen, bevor der Request herausgeht.
Das Activity-Log speichert keine rohen Proxy-URLs mehr, selbst wenn ein Client eine gesendet hat. Die Response, die du siehst, enthält immer die undurchsichtige Base36 Proxy-ID, und der gespeicherte Payload stimmt überein. Wir haben zudem den x-powered-by-Header aus jeder API-Response entfernt.
Zahlen
- Der interaktive Turnstile-Solve auf minfin.bg: 200 mit Inhalten des Ministeriums in etwa 5 Sekunden, danach 2 Credits pro Replay über die gecachte Session.
- Bei einem Target mit Rate Limit unter gleichzeitiger Last verteilt sich Auto nun auf mehrere Exits (4 verschiedene Exits auf einem Fixed-Exit-Host verwendet, 21 von 24 Replays zu 2 Credits), anstatt jeden Request auf einen Exit zu häufen.
- 13 Sprachen sind für Blog, Docs und Updates live.
Auto ist die Form der API, auf die wir das ganze Quartal hingearbeitet haben. Übergib eine URL, erhalte die Response, behalte die Session. Die interessante Arbeit liegt nun an den Rändern: messen, wie gut sich die kostenbewusste Leiter bei deinem realen Traffic amortisiert, und die Validate-Pattern finden, die jene falsch-positiven Erfolgsfälle abfangen, an die niemand denkt.