Официальный ответ Mimolet на публикации Хабра

Главная логическая ошибка

Открытый дейтинг не равен открытому доступу ко всем данным

Mimolet - открытый сервис знакомств. Пользователь размещает анкету, чтобы ее видели другие участники: имя, описание, город, интересы и выбранные фотографии. Возможность увидеть такую анкету и поставить ей лайк в рамках правил продукта - базовая функция, а не сама по себе уязвимость.

Та же граница существует в соцсетях и мессенджерах: показанное на экране публичное фото можно сохранить техническими средствами. Presigned URL меняет срок действия ссылки, но не способен запретить скриншот или копирование уже отданного браузеру файла. Реальная задача защиты - не обещать физически невозможное, а разделять публичный контент и закрытые данные, не раскрывать лишние идентификаторы и ограничивать массовую aвтоматизацию.

Пункты 2, 3, 7 и 9 исходного поста

Названные автором маршруты не являются текущим API Mimolet

В статье фигурируют profile_view.php, feed_classic_api.php и отрицательный параметр смещения. Сегодня оба указанных маршрута возвращают HTTP 404, а описанный отрицательный offset отсутствует. Профиль и лента текущего API без авторизации возвращают HTTP 401.

Здесь есть и внутреннее противоречие исходного текста: заголовок раздела утверждает "профили без авторизации" и использует фразу "There is no auth", но уже в следующем абзаце автор пишет, что запросу нужна валидная PHPSESSID. Валидная сессия как раз является формой авторизации. Это не отменяет необходимость корректного контроля доступа в старом коде, но делает сенсационный тезис "вообще без авторизации" фактически неточным даже по собственному описанию автора.

Сам по себе HTTP 404 сегодня не доказывает и не опровергает состояние кода в конкретный момент прошлого. Он доказывает другое: переносить описание этих файлов на нынешний Мимолет технически некорректно.

Лайки, токены и Premium

Возможность лайкнуть известную анкету не отменяет ценность подписки

Автор объединяет две разные функции. Первая - поставить реакцию на уже известную публичную анкету. Вторая - узнать, кто именно поставил лайк вам, и массово обработать входящие реакции. Premium продает дополнительные возможности интерфейса и доступа к входящим лайкам, а не монопольное право симпатизировать человеку, которого пользователь увидел в другом месте сервиса.

В текущей реализации реакции проходят через авторизованный серверный путь и ограничиваются сервером. Бесплатный ответ вкладки входящих лайков не раскрывает реальный ID, имя или исходную ссылку фотографии. Массовый ответ проверяет подписку на сервере. Описанный автором альтернативный PHP-обработчик удален.

Публично доступная функция "поставить лайк" и платная функция "раскрыть входящие лайки" не являются одним и тем же продуктовым действием.

Пункт 5 исходного поста

Несколько сессий и отсутствие жесткой привязки к IP не означают session fixation

Session fixation - это конкретный класс атаки, в котором злоумышленник навязывает жертве заранее известный идентификатор сессии. Описание нескольких одновременно выданных сессий само по себе такую атаку не демонстрирует. Многосессионность нормальна: люди входят с телефона, компьютера и Telegram Web.

Жесткая привязка каждой сессии к IP, которую статья выдает за обязательную "базовую защиту", ломает работу мобильных сетей, CGNAT, VPN и пользователей с меняющимся адресом. Современная защита строится на безопасных токенах, сроках жизни, серверной проверке статуса аккаунта и возможности отзыва, а не на предположении, что IP равен человеку.

Содержательный вопрос здесь один: может ли заблокированный аккаунт продолжать действия. В текущем API статус блокировки проверяется на каждом авторизованном запросе, а не только при открытии интерфейса.

Пункт 6 исходного поста

Публичное фото анкеты - не то же самое, что публичный листинг бакета

Фраза "публичный S3" используется в статье так, будто любой посетитель мог открыть каталог всех объектов. Это разные режимы. Публичный листинг бакета Mimolet отключен и возвращает HTTP 403. Конкретные фотографии публичных анкет доступны по ссылке намеренно, потому что иначе браузер и приложение не смогли бы их показать.

Текущие имена медиа строятся на UUID, а закрытые превью входящих лайков используют непрозрачные пути без ID пользователя. Это убирает описанную в статье связь между предсказуемым Telegram ID и путем к файлу. При этом мы не выдаем сохранение уже показанного публичного фото за технически невозможное: такого обещания не может честно дать ни один открытый дейтинг или социальная сеть.

Скрейпинг, offset и rate limiting

Автоматизация возможна в любом публичном сервисе. Вопрос - в масштабе и барьерах

Скрейпинг не уникален для Mimolet. Автоматизированно собирать публичные страницы и медиа пытаются в Instagram, TikTok, Telegram, маркетплейсах и дейтингах. Наличие такого инструментария у третьей стороны не доказывает, что сервис "отдал базу" или открыл закрытые данные.

Но массовую автоматизацию нужно делать дороже и заметнее. Поэтому нынешняя архитектура использует обязательную авторизацию, серверные лимиты действий, проверки блокировки и защиту от прямого перебора профилей. Описанный трюк с отрицательным offset относится к удаленному API и в текущем контракте отсутствует.

Категоричное "никакого rate limit" также не описывает текущий продукт. Ограничения работают на сервере и зависят от типа действия и тарифа. Мы намеренно не публикуем здесь полную карту антиабьюз-механизмов, потому что официальный ответ не должен становиться инструкцией по их обходу.

Заголовок про "43%"

Собранная автором выборка не доказывает состав всей аудитории

В тексте нет независимо проверяемого датасета, методики формирования выборки, дедупликации, оценки полноты и доказательства, что 12 340 полученных карточек равны всей аудитории или MAU. Более того, диапазон 15-19 лет объединяет несовершеннолетних и совершеннолетних, поэтому его нельзя целиком обозначать словом "дети".

Возраст в дейтингах и социальных сервисах обычно вводится самим пользователем. Из значения в анкете нельзя задним числом достоверно установить личность и реальный возраст человека. Поэтому громкий процент из заголовка - результат авторской классификации непроверенной выборки, а не установленный факт о пользователях Mimolet.

Текущий сервис предназначен для аудитории 18+. Жалобы рассматриваются модерацией в день поступления, и аккаунты, не соответствующие правилам, блокируются. Это практический механизм реакции, а не попытка объявить паспортную проверку универсальным отраслевым стандартом, которым она не является.