С 23 по 28 сентября MAG Master закрыл дыры, из‑за которых доступ мог открыться без успешной проверки. Обычный вход по паролю и ключи MCP остались на месте.
Доступ только после проверки
- Если проверка сессии не прошла, API отвечает отказом. Открытого режима «на всякий случай» в проде нет.
- Подставить чужой тенант в запрос нельзя: компания берётся из сессии.
- Вебхуки и адреса, которые задаёт пользователь, проверяются до исходящего запроса.
- На входе есть лимит попыток, у ответов — безопасные заголовки, права администратора сверяются с живой сессией.
Польза: кабинет и API открываются тому, кто вошёл, и остаются закрытыми для остальных.
Карта сайта без ленты
Яндекс больше не получает feed.xml как sitemap. В карте — страницы сайта. RSS по-прежнему лежит на /feed.xml для читалок и соцсетей.
Польза: поиск индексирует новости и справку как страницы, а не как одну ленту.
Как это складывается
запрос → проверка сессии и компании
↓
проверка не прошла → отказ
↓
карта сайта → страницы, RSS отдельно
Куда дальше
Следующая волна — маска в Studio и воронка заявок. Обзор июля–сентября — за два месяца.
Справка
Вопросы по доступу — info@darta.su.