Ну, в той стране - где у тебя теперь основной бизнес это все легально.

Да и в целом по миру законодательное отношение к наркотикам стало значительно более мягким.

Опыта нет но кажется лучше по гео (если гео значительно отличается от обычных)

вопросы только к эффективности методов, тк оплата идет из общего кармана народа.
сайты уйдут в даркнет или в тг боты или еще куда.

у меня знакомый опер из регионов сейчас на прогера переучивается. Родилась дочка и на 37к сложно (с перспективой +1.5к через пару лет). Вот это эффективная зп для борьбы с наркотой и тп фигней 👍

😂👍

Будет делать сайты по продаже травки)

Да, сейчас смотрим какую маску допуска на смену айпи адреса ставить

Шутки-шутками мб и для бывших коллег по аналогии с :

https://gizmodo.com/a-woman-pleads-guilty-to-using-rentahitman-com-to-try-t-1848115123

Интересно, просто обычно долго это занимает, в коде разбираться. Может вы смотри уже и  сам принцип там известен?

хреново вопрос прочитал.
у вас почему-то второй этап отвязан.
сходу даже не знаю таких сервисов.
обычно сессия полностью слетает и все, без промежуточных вариантов, тяжко вашим бекам 😁

Тогда ещё вопрос, есть способ-сервис дешевле смс слать на 2фа чем обычные тарифы операторское? Сходу не вспомню, но сервисные смс порядка рубля вроде стоят

дешевле делать звонки и просить пользователя последние цифры номера ввести
у smsc.ru нужно шаблоны сообщений делать, тогда будет дешевле (скорее всего у всех так).

Принял, спасибо!

А от каких угроз защищаетесь вторым фактором?
Почему именно такой набор параметров для хэша?
Cами считаете хэш или используете какой-то код типа fingerprint.js ?

По той статистике, что есть у меня - фингерпринт дает довольно мало информации. Для IOS он почти бесполезен, для мобильных браузеров - слишком часто версия меняется.
Обычно имеет смысл предлагать второй факто только для важных операций, типа платежа или изменения учетной записи, для остального просто нормальную двутокенную систему с обнаружением уязвимостей.

соберу инфу по параметрам, самописный хэш у нас. Посмотрим на фингерпринт

от фишинга в основном.

> для остального просто нормальную двутокенную систему с обнаружением уязвимостей.
а вот тут поподробнее пожалуйста )

Насчет смсок может кто посоветует
У нас есть домен в зоне com и ООО с несозвучным названием.
МТС от нас требует
- сведетельство о регистрации (какая-то фейк бумажка, которая только в РФ делается)
- регистрировать товарный знак 😐 что мешает любому другому юр лицу его оформить?
Может есть секретный путь? А то это выглядит как бред какой-то. Развлечение за 2к/месяц от мтс

Ну, если использовать два токена, access и refresh (обычно нужен еще и третий session)
access живет в серверной куке на домене приложения
refresh в серверной куке на верхнем домене
session в серверной куке на домене аутентиификации.

access - передается, соответственно, с каждым вызовом, но короткоживущий.
refresh - одноразовый, для обмена access на новую пару access+refresh. Так как он одноразовый, то повторное его использование говорит или о сетевых проблемах или о компрометации. Можно вместе с ним передавать и fingerprint в максимально параноидальном варанте
session - обычно нужен для SSO или для кейсов с не очень долгоживущим refresh-token

Заметим, что в этой схеме для фишинга нужно
1) или крякнуть хранение серверных кук в браузере
2) или перехватить access-token по tls и какое-то время подменять себя, но если access-token живет секунд 20-30, то это ничего не даст.
3) постоянно перехватывать tls трафик

Заметим, что fingerprint не спасет ни в одном из указанных вариантов (