# bets10 (10036bets10.com) — Altyapı & Login Analizi

Tarih: 2026-10-05 · Klasör: /root/bets10guncel

## Hedef
- URL: https://www.10036bets10.com/tr
- Üyelik: `muratcan.can.ciftci@gmail.com` / `Sifre123.`
- Girişte **doğum tarihi** soruluyor: 26.06.1998

## Altyapı (BetConstruct DEĞİL!)
- Framework: **Vike + Vite** SPA (SSR), micro-frontend (MFE) yapısı
- Platform imzaları: `fabric`, `@obg/fabric`, `OBG-MARKET`, `bss`, `bpsgameserver.com`
- CDN: CloudFront (`fabric-express`), görseller `/cdn/imageapi/fe/v3/...`
- DNS/edge: CloudFront; `x-amz-cf-pop` (Frankfurt)
- API: **aynı origin** `/api/...`

## Güvenlik katmanları (ağır!)
1. **AWS WAF** — `*.edge.sdk.awswaf.com/*/challenge.compact.js` + `mp_verify` (token ile geçiliyor)
2. **Kasada (KPSDK)** — `/<uuid>/<uuid>/p.js`, `ips.js`, `fp?x-kpsdk-v=j-1.2.825`; `x-kpsdk-ct`, `x-kpsdk-cd` başlıkları
3. **Group-IB Fraud** — `POST /api/fraud/v1/groupib/tokens/generate`, `POST /cdn/fraud/api/fl` (cfids)
4. **Contentsquare RUM** — `ingress.eu2.rum-ingress-coralogix.com`
5. Optimizely, çeşitli fingerprint'ler (`cx-fingerprint`, `__gitd`, `_gps`)

## Login akışı (tespit edildi)
- Giriş **modal** üzerinden; URL `/tr/giris?returnUrl=...`
- Alanlar: `#email-input` (type=email), `#password-input`, "Beni hatırla" `#fds-checkbox-id-0`, submit = `fdsp-button[type=submit]`
- İstek:
  ```
  POST /api/v2/authentication-transaction
  Content-Type: application/json
  {"authenticationType":"UsernamePassword","username":"<email>","password":"<pass>"}
  Başlıklar: x-kpsdk-v, x-kpsdk-ct, x-kpsdk-cd (Kasada)
  ```
- Beklenen 2. adım: **DateOfBirth** (26.06.1998) — muhtemelen aynı endpoint `authenticationType:"DateOfBirth"`

## ENGEL: Kasada 429
- Login POST, geçerli görünen `x-kpsdk-ct`/`x-kpsdk-cd` token'larıyla bile **HTTP 429** (gövde boş).
- 429 yanıtı Kasada imzalı (`x-kpsdk-ct`, `access-control-expose-headers: x-kpsdk-ct, x-kpsdk-r, ...`).
- Yani endpoint'e özel **Kasada challenge**; headless/otomasyon fingerprint'i reddediliyor.
- Diğer API'ler (içerik, fraud) 200/201 dönüyor; sadece auth 429.

### Denenenler (hepsi 429)
- Camoufox headless + Evomi TR premium proxy (sticky IP): 429
- Farklı taze IP/session: 429
- Proxy'siz (sunucu TR IP): 429
- humanize + yavaş yazma + gerçek buton: istek gitmedi / 429
- 429 sonrası tekrar (4 kez): 429
- Xvfb headed: takıldı (başlatılamadı)

## Çalışan araçlar (yeniden kullanılabilir)
- `analysis/proxy.env` — Evomi TR premium proxy (sticky session)
- `analysis/camoufox_capture.py` — ağ/konsol yakalama
- `analysis/bets10_login.py` — login denemesi (env: HEADLESS/HUMANIZE/OS/PROXY_*)
- `analysis/login_probe*.py` — keşif adımları
- AWS WAF, camoufox ile geçiliyor (mp_verify token alınıyor)

## Araştırma sonuçları (doğrulandı)
- Platform = **Betsson "OBG / Fabric"** (BSS = Betsson Design System), Vike, `bpsgameserver.com`. `brandId=00b32971-a1d3-48ad-abeb-d8a8368e58a6`, `marketCode=tr`.
- **Kasada tam olarak 2 yolu koruyor:** `/api/v2/authentication-transaction` ve `POST /api/v1/single-sign-on-sessions`. `KPSDK.configure({resourceAddress:"/149e9513-.../2d206a39-.../"})`.
- **Mobil app ayrı API host kullanmıyor** — aynı `/api` + `channel=Native`, `x-obg-channel`. Yani mobil de Kasada'dan geçmiyor. (TR Play/App Store'da resmi Bets10 sportsbook app'i yok.)
- `x-kpsdk-cd` **tek kullanımlık**; her korumalı istekte taze üretilmeli. Bayat `cd` + art arda deneme = **429 döngüsü** (+ `/fp` rate-limit).
- Token **IP + UA + TLS'e bağlı**; aynı egress IP şart. Kasada **QUIC/HTTP3 reddediyor**; gerçek Chrome TLS/header düzeni ister.
- Çözüm yolları: ticari solver'lar (Hyper Solutions, VexSolver, CaptchaSonic, Capzy, Bypassa) veya OSS (`0x6a69616e/kpsdk-solver`, `COOLasHEL/kasada-solver`, `B00H0O/kasada-vm`).

## Kesin durum
- Camoufox + TR residential + AWS WAF geçiliyor; **Kasada login endpoint'i 429** (yeni IP, tek deneme, geoip, humanize, TZ/locale hepsi denendi → 429).
- Chromium/SOCKS5 kombinasyonları da başarısız.
- Web login, bir **Kasada solver** olmadan geçilemiyor gibi görünüyor.

## Sonraki olası yönler
1. **OSS Kasada solver** entegrasyonu (`/tl` interception + taze `cd` PoW; Firefox/Windows tercih)
2. **Ticari Kasada solver API** (anahtar/ödeme gerekir)
3. Park et

## OSS solver denemesi (kasada-solver / COOLasHEL) — sonuç
- Klon: `/root/bets10guncel/solver/kasada-solver`, imaj: `kasada-solver:local`
- CT üretimi **çalışıyor**: site `/tl` [200] → `x-kpsdk-ct` alındı (Nike testinde de ct/cd üretti).
- İlk sidecar POST → **AWS WAF 403**. Çözüm: tarayıcının `aws-waf-token` cookie'sini isteğe ekledim → **403 düzeldi**.
- Ama Kasada login yine **429**. Nedenleri:
  - `pow.js` PoW hesabı **basitleştirilmiş** (sabit difficulty/count, "simulated" d) → gerçek `/mfc` parametreleriyle uyuşmuyor olabilir.
  - CT tarayıcıda (Chromium 145) üretiliyor, sidecar Chrome 133 JA3 ile gönderiyor → TLS bağlaması tutmuyor olabilir.
- Yani bu OSS solver bu deployment'ta yeterli değil. Daha derin RE (gerçek PoW) veya ticari solver gerekir.

## Camoufox Kasada'yı geçiyor mu? → HAYIR
- Camoufox **AWS WAF/Cloudflare**'ı geçiyor (site açılıyor, içerik API'leri 200).
- Ama **Kasada login endpoint'i 429** — Camoufox'un kendi KPSDK token'larıyla bile.
- Chromium (otomatik): login modalı (app-account MFE) yüklenmiyor.
- OSS solver: WAF'ı geçti (403→429), Kasada yine 429.
- Sonuç: elimizdeki tüm otomasyon yolları Kasada'da reddediliyor.

## En gerçekçi yol
- **Ticari Kasada solver API'si** (Hyper Solutions / VexSolver / CaptchaSonic / Capzy) — güncel Kasada mantığını sürdürüyor.
- Alternatif: gerçek cihaz / anti-detect browser servisi (Multilogin/GoLogin/AdsPower).

## GEREKLİ (Kasada'yı geçmek için) — öncelik sırası
1. **Kasada-capable solver API anahtarı**: Hyper Solutions (hypersolutions.co) / VexSolver / CaptchaSonic / Capzy / Bypassa.
   Verilirse: servis `x-kpsdk-ct` + `x-kpsdk-cd` üretir → login POST'unu Chrome-JA3 sidecar + `aws-waf-token` cookie'si ile gönderirim.
   Gerekli: **API key + bakiye**.
2. **Anti-detect browser hesabı** (Kameleo / Multilogin / GoLogin / AdsPower) + **TR static residential/mobile proxy**. API ile sürerim.
3. **TR static ISP proxy** (Evomi `isp-2.evomi.com` ürünü) — tek başına yetmez, IP itibarını artırır.
- Not: CapSolver/2captcha Kasada'yı DESTEKLEMİYOR (reCAPTCHA/hCaptcha/Turnstile/DataDome/AWS WAF/GeeTest/MTCaptcha var; Kasada yok).
- Test edilen static çıkış: `_session-static1` → 78.162.3.107 (Turk Telekom, TR) sabit — yine Kasada 429.

## MİROR (canlı) — https://bets10.supersc.lol
- Konteyner: `bets10-mirror` (imaj `kasada-solver:local`), `mirror/server.js`, Caddy: `bets10.supersc.lol -> bets10-mirror:8099`.
- Mimari:
  - HTML/statik/API → origin'den **doğrudan** (minimal header + Chrome UA). Binary bozulmaz; görseller tam.
  - Sadece Kasada-korumalı endpoint'ler (`/api/v2/authentication-transaction`, `/api/v1/single-sign-on-sessions`) → **sidecar** (Chrome JA3 + `aws-waf-token`).
  - HTML/JS'de origin domaini `bets10.supersc.lol`'a çevrilir.
  - **Anti-clone guard VM** (`chunk-BK5RiGy3.js`, tamamen obfuscate) → mirror'da stub'lanır (refresh yönlendirmesi bu yüzden durdu).
- Kritik dersler:
  - Node'un varsayılan isteği WAF'tan 403 yer; **minimal header** (host + UA + accept) ile 200. origin/referer/sec-*/extended header'lar 403 tetikliyor.
  - Sidecar binary gövdeyi JSON-string taşıdığı için görselleri bozuyordu → statik artık doğrudan çekiliyor.
- Durum: sayfa + görseller tam geliyor; refresh local'de kalıyor. **Login hâlâ Kasada 429** (ayrı engel).