---
title: MYPRO
emoji: ⚡
colorFrom: blue
colorTo: indigo
sdk: gradio
sdk_version: 4.44.0
app_file: app.py
pinned: false
---

# מעקף פרוקסי 2.0 (Etrog Bypass Proxy)

Reverse proxy מבוזר: **Cloudflare Worker** + **Service Worker** בדפדפן, לעקיפת סינון יתר (SNI/DPI/DNS) לצריכת תוכן חוקי (מנוי פעיל).

## כתובת פרוסה

https://etrog-bypass-proxy.miriklain616.workers.dev

| נתיב | תפקיד |
|------|--------|
| `/` | דף בית + ניווט |
| `/ytp?v=VIDEO_ID` | נגן YouTube יציב (מומלץ) |
| `/websearch?q=…&t=web\|images\|videos\|news&p=N` | חיפוש נייטיב: רשת / תמונות / וידאו / חדשות |
| `/api/websearch?q=…&t=…&p=N` | אותן תוצאות כ-JSON |
| `/x/p?d=<token>` | פרוקסי תמונות כללי (אטום ב-XOR כשה-SW פעיל) |
| `/cdn/<token>` | פרוקסי מוצפן (XOR) לכתובת יעד |
| `/api/m?v=…&i=18` | זרם וידאו YouTube (same-isolate) |
| `/sw.js` | Service Worker |
| `/import-cookies` | ייבוא עוגיות (YouTube / אתרים אחרים) |
| `/api/health` | בדיקת חיים |

### חיפוש — למה אין "אני לא רובוט"

הכלל היחיד: **המשתמש לעולם לא מגיע לדף של מנוע חיפוש זר.** כל תוצאה נאספת ב-Worker ומוצגת
בדף שלנו, ולכן אין CAPTCHA, אין באנר הסכמה ואין SPA שנשבר דרך הפרוקסי.
Google / Brave / Mojeek / Startpage / SearX מציגים אתגר ל-IP של דאטה-סנטר — ולכן **אינם בשימוש
כלל**, וגם הוסרו מהקיצורים בדף הבית.

| לשונית | מקור ראשי | גיבויים |
|--------|-----------|---------|
| רשת | Bing (עמוד 1) | Yahoo (עמודים 2+ — רק לו יש דפדוף אמין), DuckDuckGo |
| תמונות | Bing (לטינית) / DuckDuckGo (עברית ושאר כתבים) | Wikimedia Commons |
| וידאו | YouTube InnerTube → נגן `/ytp` הפנימי | Bing Videos |
| חדשות | Bing News RSS | — |

שתי מלכודות שהקוד מטפל בהן:

1. **דפדוף של Bing מדומה.** `&first=` מתעלם ומחזיר שוב את עמוד 1, ולכן עמודים 2+ מגיעים מ-Yahoo
   (`&b=`), שבו הדפדוף אמיתי.
2. **Bing "חוטף" שאילתות שאינן לטיניות.** הוא מחזיר דף עם כותרת נכונה (`ירושלים - חיפוש תמונות`)
   אבל תוצאות שאינן קשורות בכלל — בלי שום קוד שגיאה. `resultsLookRelevant()` פוסל סט כזה
   וממשיך למנוע הבא; אם כולם נכשלים מוצג "לא נמצאו תוצאות" ולא זבל. הבדיקה חלה רק על מנועים
   שנגרדים מ-HTML — לא על API מובנה (Commons/RSS/InnerTube), שם הכיתובים לגיטימית בשפה אחרת.

**תמונות** עוברות דרך `/x/p`: ה-Worker מאמת magic-bytes, וה-Service Worker מוסיף `X-Etrog-SW`
כדי לקבל אותן אטומות (XOR) — כך הפילטר לא מזהה JPEG ולא מטשטש. בלי SW הן מוגשות רגילות,
כך שגם טעינה ראשונה עובדת.

## איך עוקפים את הסינון (ומה נכשל קודם)

הפילטר (Rimon/Etrog) **מסווג לפי גוף התשובה, לא לפי הכתובת**. הוא עושה MITM על החיבור
לוורקר, קורא את ה-HTML, ומחליף אותו בדף חסימה — מזוהה לפי `rimon: RWC_BLOCK` +
`server: lighttpd`. לכן ynet ו-mako נחסמו, למרות שהוורקר החזיר אותם תקין.

התשובה: **כל מה שניתן לסיווג נשלח אטום (XOR)**. הפילטר רואה בייטים חסרי-משמעות,
ה-Service Worker מפענח לפני שהדפדפן רואה.

| סוג | אטום? | למה |
|-----|-------|-----|
| מסמך HTML (ניווט + iframe) | ✅ | זה מה שהפילטר מסווג |
| XHR/JSON | ✅ | אתרי חדשות מגישים את הכתבה כ-JSON |
| תמונות | ✅ | אחרת הפילטר מטשטש אותן |
| JS | ❌ | אטימה שברה מודולים של YouTube (SyntaxError) |
| CSS | ❌ | לא מסווג, וסיכון מיותר |
| פונטים | ❌ | בקשה שתחמוק מה-SW תקבל בייטים אטומים ו-OTS יפסול |
| מדיה / Range | ❌ | שובר ניגון פרוגרסיבי |

**המלכודת שהייתה:** ה-Service Worker ויתר לגמרי על ניווטים
(`if (e.request.mode === 'navigate') return;`), ולכן המסמך הראשי — בדיוק מה שנחסם — עבר
בטקסט גלוי. בנוסף, ענף ה-HTML בוורקר החזיר תשובה לפני שהגיע לקוד האטימה, כך ש-
`X-Proxy-Obfuscate` פשוט לא נלקח בחשבון עבור HTML. שני החצאים תוקנו.

> אחרי ריווייט, **כל** משאבי המשנה של דף הם כתובות `/cdn/` באותו origin — ולכן הענף
> ה-same-origin ב-SW (ולא זה של cross-origin) הוא שקובע מה נשלח אטום. הוא אטם רק תמונות.

## ניווט בין דפים (הבאג של "הדף הראשי נטען אבל אי אפשר להתקדם")

רוב הקישורים עוברים ריווייט ל-`/cdn/<token>` ולכן הם חד-משמעיים. אבל **כתובת "עירומה"** —
ניתוב SPA, קישור שנבנה ב-JS, או רענון של אחד מהם — מגיעה בלי יעד משלה, והוורקר חייב
להסיק לאיזה אתר היא שייכת. שני מקורות המידע לכך היו שבורים:

1. **`__proxy_target` נדרס על ידי כל תשובת HTML** — כולל `<iframe>` ממקור אחר או XHR
   שמחזיר HTML. מספיק ווידג'ט/פרסומת שמתארחת על S3 או CDN, והעוגיה של כל הסשן מצביעה
   עליו. הכתובת העירומה הבאה נפתרה ל-`<bucket>/path`, ו-S3 החזיר `<Code>AccessDenied</Code>`.
   **תוקן:** רק ניווט של מסמך ראשי מזיז את `__proxy_target`. iframe ו-XHR — לעולם לא.
2. **`referrer-policy: no-referrer`** ביטל את הפתרון לפי Referer, שהוא דווקא המדויק,
   והשאיר את העוגיה (הניתנת לזיהום) כאות היחיד. **תוקן:** `same-origin` — כל בקשת משנה
   מפורקסטת היא same-origin ולכן שומרת Referer שימושי, ולאתרי יעד לא נשלח כלום.
   (הוורקר ממילא דורס את ה-Referer שיוצא החוצה לכתובת של אתר היעד עצמו.)

בנוסף, טעינת **דף** בכתובת עירומה מקבלת עכשיו 302 לכתובת הקנונית `/cdn/<token>`, כך
שרענון, סימנייה או Back כבר לא תלויים במצב סשן שצד שלישי יכול להזיז.

## ארכיטקטורה

1. **Service Worker** מיירט Fetch/XHR/Media, מצפין כתובות (XOR + base64url, מפתח `antigravity`) ושולח ל-Worker.
2. **Cloudflare Worker** מפענח, מביא מהיעד, משכתב HTML/M3U8/JSON, מחזיר תשובה (לעיתים מוצפנת).
3. **YouTube**: נתיבי `/watch` מנותבים ל-`/ytp`; הזרם מגיע מ-`/api/m` באותו isolate של ה-Worker (מונע 403 IP mismatch).
4. **מדיה (Scania וכו')**: זיהוי `isMedia` מדלג על HTMLRewriter כדי לא להשחית מקטעים בינאריים שמוסווים כ-`text/html`.

## פריסה

```bash
# Windows PowerShell
$env:CLOUDFLARE_API_TOKEN="your_token"
npx wrangler deploy
```

או: `npm run deploy` אחרי `npm install`.

## אבטחה

- **אל תשימו API Token בקוד או ב-git.** השתמשו במשתנה סביבה `CLOUDFLARE_API_TOKEN`.
- אם הטוקן דלף — בטלו אותו ב-Cloudflare Dashboard וצרו חדש.

### Secrets מומלצים (Cloudflare → Worker → Settings → Variables/Secrets)

הקוד קורא קודם מ-env ונופל לברירת-מחדל רק אם לא הוגדר. הגדירו כ-**Secret** (לא Plaintext):

| Secret | תפקיד | ברירת מחדל אם לא מוגדר |
|--------|-------|------------------------|
| `GATE_PASSWORD` | סיסמת השער | הערך המוטמע (מומלץ לדרוס) |
| `GATE_SECRET` | מפתח חתימת טוקן השער. **שינוי שלו מנתק מיד את כל הסשנים** (רוטציה) | מפתח מוטמע — מומלץ לדרוס |
| `NACHOTOY_SID` | סשן ה-VIP של Nachotoy (`connect.sid` בלבד, בלי השם) | ריק → האתר פשוט לא מחובר-אוטומטית |

```bash
# דוגמה (PowerShell)
$env:CLOUDFLARE_API_TOKEN="…"
npx wrangler secret put GATE_SECRET
npx wrangler secret put GATE_PASSWORD
npx wrangler secret put NACHOTOY_SID
```

- **טוקן השער** אינו עוד ערך קבוע: הוא בפורמט `v2.<תפוגה>.<חתימה>`, פג אחרי 30 יום, וניתן
  לביטול מיידי ע"י שינוי `GATE_SECRET`.
- **`connect.sid` של Nachotoy הוסר מהקוד.** הסשן הישן דלף ל-git history — **החליפו אותו**
  (התנתקו והתחברו מחדש ב-Nachotoy כדי לפסול את הישן) והכניסו את החדש כ-Secret‏ `NACHOTOY_SID`.
- **הגנת SSRF:** נתיב `/cdn/` חוסם כתובות פנימיות (loopback / RFC1918 / link-local /
  169.254.169.254). ה-relay חוסם גם הוא כתובות-IP פנימיות בנוסף ל-allowlist של Google.

## למה `/ytp` ולא YouTube עצמו

נבדק אמפירית (2026-07-26):

| מאיפה | `youtube.com/watch` | תוצאה |
|-------|---------------------|-------|
| Cloudflare (הוורקר) | דף `/sorry/` — CAPTCHA | הוורקר נופל ל-`makeSorryResponse` → `/ytp` |
| IP ביתי (relay) | 938KB, `playabilityStatus: OK`, כתובות `url=` גלויות | תקין לחלוטין |
| InnerTube API מ-Cloudflare | `ANDROID+IOS`, 12 פורמטים | **עובד** — וזה מה ש-`/ytp` משתמש בו |

כלומר: **דף ה-HTML** של YouTube חסום ל-IP של דאטה-סנטר, אבל **ה-API** לא. `/ytp` מנצל
בדיוק את הפער הזה, ולכן המדיה זורמת דרך Cloudflare (מהיר) ולא דרך הבית.

להצגה ביוטיוב עצמו צריך: להביא את ה-HTML דרך ה-relay (≈1MB לכל טעינת דף על החיבור
הביתי), ואז **להחליף** את `streamingData` בתשובת `/youtubei/v1/player` בכתובות שהוורקר
פתר בעצמו — אחרת כתובות googlevideo יהיו חתומות ל-IP הביתי בעוד הבייטים נמשכים
מ-Cloudflare, ויחזור 403. התשתית לכך קיימת חלקית (`rewritePlayerApiJson`).
`?yt_ui=1` הוא פתח המילוט הקיים לניסיון.

## ניגון: למה 502 על `/x/s/…bin`

כתובות googlevideo **חתומות ל-IP שפתר אותן**. פורמט שנפתר בוורקר חתום ל-Cloudflare וחייב
להישלף מ-Cloudflare; פורמט שנפתר דרך ה-relay חתום ל-IP הביתי וחייב לחזור דרכו.

הבאג: `tryFetchMedia` לקח את ה-relay **בלעדית** בכל פעם שהוא מוגדר, והחזיר `null` ברגע
שהוא נכשל — בלי לנסות אף פעם את הנתיב הישיר. כשהמנהרה נופלת, הניגון מת לגמרי, למרות
שהכתובות חתומות ל-Cloudflare וניתנות לשליפה ישירה (רואים את זה ב-`ip=172.70.x` שבתוך
כתובת ה-videoplayback). התוצאה: "שגיאה בניגון" + מאות 502.

עכשיו **שני** הנתיבים נוסים, לפי הסדר שממנו הכתובות באמת הגיעו (`pack.via`).

בנוסף, לולאת הפורמטים בלעה חריגות (`catch { /* next */ }`), כך ש-502 היה עיוור לחלוטין.
גוף השגיאה כולל עכשיו `dbg[]` עם ניסיון-אחר-ניסיון (סטטוס, content-type, שגיאה) —
אם ניגון נכשל שוב, זה מה שצריך להעתיק.

## פתרון בעיות YouTube

1. פתחו `/ytp` (לא את ממשק YouTube המלא — לא יציב דרך CF).
2. אם יש 502 / no format: `/import-cookies` עם עוגיות מחשבון מחובר (כולל `SAPISID`).
3. כתובות googlevideo חתומות ל-IP של ה-Worker — אל תעבירו `X-Forwarded-For`.