Пул прелендинг-доменов, DNS-онбординг и TLS-режим, нужный чекеру устройства.
Маска работает на edge, а edge отдаёт твои преленды с пула доменов, которыми ты владеешь. Несколько доменов и ротация между ними не дают выгореть ни одному — заблокированный домен пропускается, остальные продолжают отдавать.
Только что добавленный домен — pending и не отдаёт трафик, пока его DNS не указывает на твой инстанс. d0pe проверяет это либо резолвом A-записи на платформенный IP, либо — за прокси вроде Cloudflare — подтверждая, что домен отдаёт внутренний токен по well-known пути. Только после проверки домен становится active и входит в пул. Результат кэшируется, так что DNS не резолвится на каждый клик.
У каждого домена есть TLS-режим. Normal сидит за оранжевым облаком Cloudflare — полная клоака, но TLS-хендшейк терминирует Cloudflare, поэтому JA4-сигнала устройства нет. Advanced работает на сером облаке, TLS терминирует ja4-edge, который снимает JA4/JA4H посетителя и прокидывает его в скоринг.
Поэтому device/TLS-слою Маски нужен хотя бы один Advanced-домен, прошедший self-check готовности: без него нет TLS-отпечатка для скоринга. Воркер здоровья держит пул честным — помечает недоступные или заблокированные домены и отслеживает гео-репутацию каждого.