Bypass do Castle, request token gerado.

Um bypass do Castle sem navegador. A Takion gera um x-castle-request-token válido em uma chamada, para que suas requisições de login e checkout passem pela verificação de risco do Castle e sigam adiante.

Última atualização · Cobertura testada contra um alvo Castle ao vivo.

Sendo bloqueado pelo Castle?

O Castle protege logins, cadastros e checkouts contra account-takeover e fraude. Toda chamada protegida precisa carregar um x-castle-request-token válido, cunhado a partir de sinais do navegador e do cookie __cuid da sessão. A Takion gera esse token no servidor, sem navegador do seu lado, e o devolve pronto para anexar. Envie-o com sua requisição de login ou checkout e o Castle libera você.

O acesso ao teste é controlado

O Castle protege logins e checkouts, então um bypass pode permitir account-takeover e fraude de pagamento. O acesso ao teste não é automático. Fale com a gente antes e conte qual é o seu caso de uso.

Como o Castle funciona

O Castle (castle.io) é uma camada de segurança de conta: ele pontua logins, cadastros e checkouts para barrar account-takeover, contas falsas e abuso. Ele lê características do navegador, comportamento e padrões de requisição, e espera que toda chamada protegida carregue um x-castle-request-token válido cunhado a partir desses sinais e do cookie __cuid da sessão.

A Takion gera esse token no servidor a partir da site key da página (o valor pk_) e do seu __cuid, e o devolve pronto para enviar. Uma chamada, sem navegador. Você anexa o x-castle-request-token / castle_token à sua requisição de login ou checkout, leva o __cuid junto, e a requisição passa.

  • Desafios que a Takion cobre
  • Pontuação de risco de account-takeover e contas falsas
  • x-castle-request-token / castle_token no login e no checkout
  • Atrelamento de sessão via __cuid
  • Sinais de características e comportamento do navegador

O que uma chamada devolve

Uma chamada ao endpoint do Castle devolve um x-castle-request-token válido e o __cuid ao qual ele está atrelado, prontos para anexar à sua requisição de login ou checkout.

x-castle-request-token / castle_token

o request token que você anexa à chamada protegida de login ou checkout

__cuid

o cookie de sessão ao qual o token está atrelado (gerado se você não fornecer um)

curl -G https://castle.takionapi.tech/generate \
  --data-urlencode "api_key=$TAKION_KEY" \
  --data-urlencode "website=rockstar"          # or site_key=pk_... for any target
# → { "token": "<x-castle-request-token>", "__cuid": "<cuid>" }

Ler a documentação do CastleA mesma chave para todo muro. O mesmo formato de JSON para todo fornecedor.

How the Castle bypass works, end to end

No browser, no SDK on your side. Four moves from the login wall to a cleared request.

  1. 1

    You load the protected page

    Hit the login, signup, or checkout page and read the Castle script tag. It loads cdn.castle.io/v2/castle.js?pk_.... The value after the ? is the scriptID you pass along.

  2. 2

    You call /generate once

    Send the target to castle.takionapi.tech/generate: a website shortcut like twitter or rockstar, or the site_key you parsed. Add your __cuid if you already have one. One GET, no SDK.

  3. 3

    We mint the token server-side

    Takion builds the token Castle's JS would have produced from the script context and your session, then binds it to the __cuid. Nothing runs in a browser on your end.

  4. 4

    You attach and send

    Read token from the response, put it where the target expects it, carry the __cuid alongside, and Castle scores the request as a real session.

The pieces of a Castle solve, decoded

Four things move through one request. Here's what each one is:

x-castle-request-token / castle_token
the request token you attach to the protected call. Rockstar reads it as a header, X reads it as castle_token.
__cuid
the session cookie the token is bound to. Send yours, or Takion generates one and hands it back with the token.
site_key (pk_...)
Castle's public key, parsed from the page's castle.js script tag. It names the target when there's no shortcut.
website shortcut
a name like twitter or rockstar so you skip parsing the site key yourself. One of website or site_key is required.

Why request-based beats a browser here

The browser way to pass Castle is to load castle.js, let it fingerprint a real Chrome, drive the login form, and hope the behavior signals read clean. That's a headless browser per account, and account flows run at scale. Login, signup, checkout: you're firing thousands of these, not one.

Takion mints the token directly. No castle.js running, no browser to fingerprint, no mouse path to fake. One GET returns the token and the __cuid it's bound to, so a solve is an HTTP round trip instead of a full page render. Send your real User-Agent, Sec-Ch-Ua, and Accept-Language on the call and the token matches the request you actually make.

What flags a Castle request

A valid token is necessary, not sufficient. Castle scores the whole session, and these break it:

  • Token and __cuid split apart. The token is bound to the __cuid. Send them from the same session or Castle reads a mismatch.
  • Header drift. Generate the token against one User-Agent and send another and the signals disagree. Match the User-Agent, Sec-Ch-Ua, and Accept-Language on the generate call and the final request.
  • Reused token. The token is minted for one request. Generate a fresh one per login or checkout attempt, don't replay an old one.
  • Wrong placement. Rockstar wants the x-castle-request-token header, X wants castle_token. Put it where the target reads it or the call goes out without it.
  • Dirty IP or velocity. Castle also scores connection and request patterns. Hammer a login from one flagged IP and no token saves you.

The one rule that keeps you cleared

Generate the token against the exact User-Agent, Sec-Ch-Ua, and Accept-Language you'll send, and keep it with its __cuid on one session. Castle scores consistency across the whole login. Match the session it minted for and you pass.

Alguns sites que usam Castle

Castle protege estes sites. O Takion o resolve em cada um, então um bypass de rockstar games é o mesmo POST único que qualquer outro muro.

Rockstar Games

login do Social Club

Perguntas frequentes sobre o bypass do Castle

Sim. A Takion gera um x-castle-request-token válido (chamado de castle_token em alguns sites) a partir da site key e da sua sessão, e o devolve pronto para anexar à requisição protegida de login ou checkout, junto com o __cuid ao qual ele está atrelado.
Para a maioria dos alvos, sim, a site key pk_ da página. Para sites comuns temos um atalho, por exemplo website=twitter ou website=rockstar, para você não ter que fazer o parse na mão.
Passe o __cuid da sua sessão, se você tiver um; se não, a Takion gera um e o devolve. Mantenha-o na sessão que envia o token.
Sim. Os dois rodam Castle no login. A Takion devolve o token para cada um (a Rockstar o envia como header x-castle-request-token, o X o envia como $castle_token), e você leva o __cuid junto.

Todos os outros muros

Lance seu bypass do Castle hoje.

Teste gratuito e, depois, uma única chave para todos os muros. Primeira chamada em menos de uma hora.