Как устроена безопасность ReMarket

Полный обзор: email-подтверждение, CAPTCHA, антифрод, баны, защита платежей и персональных данных. Что мы делаем, чтобы защитить пользователей.

Как устроена безопасность ReMarket

Безопасность — не отдельная функция, а слой, пронизывающий все процессы. Разбираем, что мы делаем, чтобы защитить пользователей и сделки.

Верификация аккаунта

Подтверждение email

При регистрации каждый пользователь получает письмо со ссылкой подтверждения. Ссылка действительна 24 часа.

Зачем:

• Защита от массовых регистраций через фейковые email
• Возможность восстановить пароль
• Уведомления о важных событиях (сделки, платежи, изменения в аккаунте)

Что ограничено без подтверждения:

• Открытие чатов
• Работа с балансом
• Полный функционал продавца

Привязка Telegram

Дополнительная верификация через Telegram-бот. Команда /link создаёт связь между сайтом и ботом, и в дальнейшем это становится вторым каналом восстановления (можно сбросить пароль через бота).

Защита от ботов и спама

Turnstile (CAPTCHA)

На регистрации и восстановлении пароля используется Turnstile от Cloudflare — бесплатный и менее навязчивый аналог reCAPTCHA.

Что это даёт:

• Боты не могут пройти регистрацию автоматически
• Настоящие пользователи не «кликают по картинкам с автобусами»

Honeypot-поле

Невидимое поле в форме регистрации. Обычный пользователь его не видит, а бот заполняет автоматически.

Что происходит: если поле заполнено — регистрация блокируется, событие логируется как подозрительное.

Rate limiting

Ограничения на частоту действий:

• Регистрация: 5 попыток / час с одного IP
• Открытие чатов: 30 / минуту
• Запросы к API: 100 / минуту
• Создание заявок: 5 / час с одного аккаунта

Что это даёт: защита от DDoS-подобных атак и спама.

Антиспам в заявках

При создании заявки проверяется:

• Цена близка к средней по категории (в диапазоне 10–1000%)
• Не больше 5 заявок в час с одного аккаунта
• Уникальность заголовка в течение последних суток

Что это даёт: фильтрует нереалистичные и спам-заявки ещё до публикации.

Антифрод в реферальной программе

Рефералка — частая цель накрутчиков. Что защищает:

• Email подтверждён — обязательное условие для начислений
• IP-проверка — если IP реферала совпадает с IP реферера (регистрация с одного устройства) — флаг suspicious
• Возраст реферера — минимум 7 дней и 1 действие на платформе
• Окно активации — 30 дней, иначе бонус сгорает
• Лимит 20 активаций/мес — защита от массового набора
• Ручная модерация — админ может отклонить любую подозрительную пару

Защита платежей

ЮKassa

Платежи проходят через ЮKassa — лицензированную платёжную систему. ReMarket не хранит данные банковских карт — они обрабатываются в ЮKassa напрямую.

Проверка вебхуков

Вебхуки от ЮKassa принимаются только с доверенных IP-адресов (диапазоны ЮKassa). Запросы с других IP отклоняются.

Идемпотентность

Каждый платёж создаётся с уникальным Idempotence-Key. Это защищает от двойного зачисления монет, если вебхук пришёл дважды.

Аудит транзакций

Все транзакции логируются:

• Кто, когда, сколько
• Тип операции (пополнение, открытие чата, бонус)
• Причина и результат

История операций доступна в профиле → «История операций».

Безопасность аккаунта

Хеширование паролей

Пароли хранятся в виде bcrypt-хешей (10 раундов). Даже администрация платформы не может увидеть ваш пароль.

Сессии

Аутентификация работает через NextAuth (JWT). Токен сессии шифруется. Срок жизни сессии — 30 дней, после чего нужно войти заново.

Восстановление пароля

Два способа:

1. Через email:

• Запрос через /auth/forgot-password
• На email приходит ссылка с токеном
• Токен действует 24 часа

2. Через Telegram-бот:

• Команда /reset_password в @ReMarketApp_bot
• Бот присылает 6-значный код
• Установка нового пароля командой /set_new_password

Зачем два способа: если email недоступен (удалён, потерян) — всегда есть второй путь.

Отвязка Telegram

Команда /unlink в боте немедленно отвязывает Telegram от аккаунта. Email при этом остаётся.

Модерация и баны

Что приводит к бану

• Спам. Массовые рассылки, реклама в чатах.
• Мошенничество. Невыполнение обязательств, обман покупателей.
• Накрутка. Фиктивные отзывы, покупки, рефералы.
• Оскорбления. Агрессия в чатах.
• Мультиаккаунтинг. Создание нескольких аккаунтов для обхода лимитов.
• Запрещённый контент. Товары и услуги, запрещённые законом.

Что даёт бан

• Временный. 7, 30, 90 дней — за лёгкие нарушения.
• Навсегда. За серьёзные нарушения или повторные.
• С заморозкой. При бане баланс может быть заморожен до разбирательства.

Жалобы и разбирательства

Если вы столкнулись с нарушением:

• Кнопка «🚩 Пожаловаться» в чате — создаёт тикет
• Команда /report_chat ID в боте — для продавцов (если покупатель неактивен)
• Обращение в поддержку через /support

Срок рассмотрения: обычно 1–3 дня.

Обжалование бана

Если считаете бан несправедливым — напишите на support@reversemarketplace.ru или в поддержку бота. Укажите:

• Ваш email
• Причину блокировки (если известна)
• Почему считаете, что бан ошибочный

Администрация пересмотрит решение.

Защита персональных данных

Что мы собираем

• Обязательно: email, пароль (в виде хеша)
• Опционально: имя, аватар, город, телефон, «О себе»
• Автоматически: IP при регистрации (для антифрода)

Кто видит ваши данные

• Публичный профиль: имя, аватар, рейтинг, отзывы, город. Без контактов.
• Полный профиль: доступен только тем, с кем у вас был/есть открытый чат
• Администрация: видит email и технические данные для разбора спорных ситуаций

Важно: мы не публикуем ваш email, телефон, Telegram ни в публичном профиле, ни в поиске. Эти данные видны только вам.

Передача третьим лицам

Мы не продаём и не передаём ваши данные рекламным сетям. Передача возможна только:

• ЮKassa — для обработки платежей (минимально необходимые данные)
• По требованию закона — если поступит официальный запрос

Подробнее — в /privacy.

Инфраструктура

HTTPS

Весь трафик — только через HTTPS. HTTP-запросы автоматически редиректятся.

Защита сервера

• UFW — файрвол, разрешены только порты 22, 80, 443
• fail2ban — блокировка IP после нескольких неудачных попыток входа
• Изоляция сервисов — сайт, бот, БД работают в отдельных процессах с ограниченными правами

Резервное копирование

База данных бэкапится регулярно. Резервные копии хранятся отдельно от основного сервера.

Что можете сделать вы

1. Используйте сложный пароль.

• Минимум 8 символов
• Заглавные + строчные + цифры
• Не используйте один пароль для разных сервисов

2. Привяжите Telegram. Даёт второй канал восстановления.

3. Проверяйте email. Не игнорируйте письма с подозрительными действиями (кто-то пытался войти, изменения в аккаунте).

4. Не переходите по ссылкам из чатов. Если покупатель/продавец присылает ссылку «оплатите здесь» — это мошенничество. В ReMarket все платежи идут только через сайт.

5. Жалуйтесь. Если кто-то ведёт себя подозрительно — не молчите. Одна жалоба может защитить других пользователей.

Итог

Безопасность ReMarket — это комбинация:

• Технических мер (хеширование, HTTPS, rate limiting)
• Автоматических фильтров (антифрод, CAPTCHA, honeypot)
• Модерации (баны, разбирательства, обжалование)
• Вашей ответственности (сложный пароль, внимательность)

Мы делаем всё возможное, чтобы платформа была безопасной. Но часть работы — за вами.

Политика конфиденциальности → Пользовательское соглашение → Как связать Telegram →

Готовы попробовать?

Регистрация бесплатна. Продавцам — 30 монет в подарок и промокод START100.

Читайте также