Пул прелендинг-доменов, DNS-онбординг и TLS-режим, нужный чекеру устройства.
Маска работает на edge, а edge отдаёт твои преленды с пула доменов, которыми ты владеешь. Несколько доменов и ротация между ними не дают выгореть ни одному — заблокированный домен пропускается, остальные продолжают отдавать.
Только что добавленный домен — pending и не отдаёт трафик, пока его DNS не указывает на твой инстанс. d0pe проверяет это либо резолвом A-записи на платформенный IP, либо — за прокси вроде Cloudflare — подтверждая, что домен отдаёт внутренний токен по well-known пути. Только после проверки домен становится active и входит в пул. Результат кэшируется, так что DNS не резолвится на каждый клик.
У каждого домена есть TLS-режим. Normal сидит за оранжевым облаком Cloudflare — полная клоака, но TLS-хендшейк терминирует Cloudflare, поэтому JA4-сигнала устройства нет. Advanced работает на сером облаке, TLS терминирует ja4-edge, который снимает JA4/JA4H посетителя и прокидывает его в скоринг.
Поэтому device/TLS-слою Маски нужен хотя бы один Advanced-домен, прошедший self-check готовности: без него нет TLS-отпечатка для скоринга. Воркер здоровья держит пул честным — помечает недоступные или заблокированные домены и отслеживает гео-репутацию каждого.
Доставке домен не нужен. Лиды валидируются, роутятся и уходят партнёрам даже когда не подключено ничего — предупреждение на экране «Потоки» не означает, что система стоит.
Домен даёт прелендер: короткий хоп «Loading…» на твоём собственном домене, где снимается и скорится отпечаток устройства, ловится реферер и клик, и игрок клоачится по пути. Device-слой Маски живёт именно здесь — иначе никак, ему нужен настоящий браузер (внешние IP- и телефон-провайдеры скорят по API, и хоп им не нужен). Без него прелендера нет: лид уходит сразу на партнёрскую ссылку, device-слой и парсинг страницы не отрабатывают — ты доставляешь незащищённым по оси устройства. Если чистая S2S-доставка — это осознанный выбор, включи «доставлять без домена Маски», чтобы снять предстартовую защиту.