Update server.js

server.js

@@ -8,17 +8,17 @@ const app = express();
 const PORT = 7860;
 
 // --- 1. CONFIGURACIÓN DE SEGURIDAD PARANOICA ---
+// CRÍTICO: trust proxy en 1 es vital para leer la IP real del usuario a través de Cloudflare/HF
 app.set('trust proxy', 1);
 app.disable('x-powered-by'); 
 app.use(cors());
 
 app.use((req, res, next) => {
-    // Cabeceras estrictas anti-rastreo y anti-inyección
     res.setHeader('X-Content-Type-Options', 'nosniff');
     res.setHeader('X-Frame-Options', 'DENY');
     res.setHeader('X-XSS-Protection', '1; mode=block');
     res.setHeader('Strict-Transport-Security', 'max-age=31536000; includeSubDomains; preload');
-    res.setHeader('Referrer-Policy', 'no-referrer');
+    res.setHeader('Referrer-Policy', 'no-referrer'); // Oculta que vienen de Ventarys AI
     res.setHeader('Content-Security-Policy', "default-src 'none'; frame-ancestors 'none';");
     next();
 });
@@ -27,12 +27,10 @@ app.use(express.json({ limit: '50mb' }));
 app.use(express.urlencoded({ limit: '50mb', extended: true }));
 
 function logError(providerId, reason) {
-    // CRÍTICO: No registrar NUNCA fechas exactas al milisegundo, ni IPs, ni el tamaño del prompt.
-    // Solo registramos caídas de la infraestructura.
     console.error(`[SYSTEM] Provider Error: ${providerId} | ${reason}`);
 }
 
-// Generador de User-Agents falsos para ofuscar la huella digital del usuario
+// Falsificación de huella digital del navegador
 function getRandomUserAgent() {
     const agents = [
         "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36",
@@ -60,19 +58,19 @@ const PROVIDERS = [
     }
 ];
 
-const MAX_PER_PROVIDER = 100; 
-const QUEUE_TIMEOUT = 25000; 
+// CRÍTICO: Subimos el límite a 500 para permitir alta concurrencia.
+// Ahora el proxy dejará pasar todo el tráfico y el proveedor final aplicará el rate limit por IP.
+const MAX_PER_PROVIDER = 500; 
+const QUEUE_TIMEOUT = 45000; 
 let currentLoad = { "pollinations-ai": 0, "kepler-cloud": 0, "voids-api": 0 };
 
 // --- RATE LIMITING LOCAL ---
-// Mantenemos el rate limit por IP para que no te tumben EL SERVIDOR,
-// pero esta IP jamás saldrá de aquí hacia los proveedores.
 const limiter = rateLimit({
     windowMs: 60 * 1000, 
-    max: 50, 
+    max: 50, // 50 peticiones por IP localmente para evitar que alguien tire TU servidor
     keyGenerator: (req) => req.ip, 
     message: { error: { message: "Too many requests.", code: 429 } },
-    standardHeaders: false, // Desactivar para no dar pistas del rate limit
+    standardHeaders: false, 
     legacyHeaders: false,
 });
 
@@ -99,7 +97,7 @@ async function fetchAllModels() {
                 method: "GET", 
                 headers: { 
                     "Content-Type": "application/json",
-                    "User-Agent": getRandomUserAgent() // Ocultar que somos un proxy Node.js
+                    "User-Agent": getRandomUserAgent() 
                 } 
             });
             if (!resp.ok) return [];
@@ -136,7 +134,6 @@ async function fetchAllModels() {
 }
 
 app.get('/health', (req, res) => {
-    // Info mínima para no dar detalles de la infraestructura a atacantes
     res.json({ status: "online" }); 
 });
 
@@ -182,10 +179,11 @@ app.post(['/v1/chat/completions', '/v1/images/generations'], limiter, async (req
     const startTime = Date.now();
     let responseSent = false;
     
-    // --- AMNESIA: Extracción profunda del body ---
-    // Clonamos el contenido para enviarlo y borraremos las referencias inmediatamente.
+    // Extraemos la IP del cliente para reenviarla
+    const clientIp = req.ip || req.headers['x-forwarded-for'] || req.socket.remoteAddress;
+    
     let payload = JSON.stringify(req.body); 
-    req.body = null; // Eliminamos el acceso al body de la petición original
+    req.body = null; 
     
     while (availableProviders.length > 0 && Date.now() - startTime < QUEUE_TIMEOUT) {
         let selectedProvider = null;
@@ -215,13 +213,14 @@ app.post(['/v1/chat/completions', '/v1/images/generations'], limiter, async (req
         try {
             let targetUrl = isImage && selectedProvider.imageUrl ? selectedProvider.imageUrl : selectedProvider.url;
             
-            // --- OFUSCACIÓN ABSOLUTA ---
-            // Jamás enviamos IPs, Hostnames originales ni Referers.
+            // --- OFUSCACIÓN + DELEGACIÓN DE IP ---
             const fetchHeaders = { 
                 "Content-Type": "application/json",
                 "User-Agent": getRandomUserAgent(),
                 "Accept": "*/*",
-                "Connection": "keep-alive"
+                "Connection": "keep-alive",
+                "X-Forwarded-For": clientIp, // El proveedor rate-limitea esta IP
+                "X-Real-IP": clientIp        // El proveedor rate-limitea esta IP
             };
             
             const response = await fetch(targetUrl, {
@@ -241,7 +240,7 @@ app.post(['/v1/chat/completions', '/v1/images/generations'], limiter, async (req
             responseHeaders.delete('server');
             responseHeaders.delete('x-powered-by');
             responseHeaders.delete('cf-ray');
-            responseHeaders.delete('access-control-allow-origin'); // Limpiamos rastros del upstream
+            responseHeaders.delete('access-control-allow-origin'); 
             
             if (isImage) {
                 const contentType = responseHeaders.get("content-type") || "";
@@ -264,8 +263,6 @@ app.post(['/v1/chat/completions', '/v1/images/generations'], limiter, async (req
                         }
                         releaseSlot();
                         responseSent = true;
-                        
-                        // Purga manual de variables
                         payload = null; 
                         
                         return res.status(response.status).json({
@@ -299,7 +296,6 @@ app.post(['/v1/chat/completions', '/v1/images/generations'], limiter, async (req
                 }
             } 
             
-            // Streaming (Texto)
             res.writeHead(response.status, {
                 'Content-Type': responseHeaders.get('content-type') || 'text/event-stream',
                 'Cache-Control': 'no-cache',
@@ -312,7 +308,7 @@ app.post(['/v1/chat/completions', '/v1/images/generations'], limiter, async (req
                 
                 stream.on('end', () => {
                     releaseSlot();
-                    payload = null; // Purga al terminar el stream
+                    payload = null; 
                 });
                 stream.on('error', () => {
                     releaseSlot();
@@ -337,7 +333,6 @@ app.post(['/v1/chat/completions', '/v1/images/generations'], limiter, async (req
         }
     }
     
-    // Purga final de seguridad si falla todo
     payload = null;
     
     if (!responseSent) {
@@ -346,5 +341,5 @@ app.post(['/v1/chat/completions', '/v1/images/generations'], limiter, async (req
 });
 
 app.listen(PORT, '0.0.0.0', () => {
-    console.log(`[SYS] Nivel de cifrado: Tor. Puerto: ${PORT}`);
+    console.log(`[SYS] Nivel de cifrado: Tor (Delegando IP). Concurrencia máxima: 500/prov. Puerto: ${PORT}`);
 });