don Elías (como los buses) 🥨@donelias@mastodon.cr

We're receiving Spam registrations too.

Reason for joining:

Automated protocol deliverability probe

Example of username chosen:

bp7db8296eb763dff7

Example of entry in web server log:

180.4.59.44 - - [10/Sep/2026:16:40:02 -0600] "POST /auth/confirmation HTTP/1.1" 302 5493 "-" "Python/3.10 aiohttp/3.14.3"

#Mastoadmin #Spam #Fediadmin

🏳️‍⚧️ Christin Löhner 🏳️‍🌈@christin@lsbt.me

Liebe alle* auf lsbt.me

Ich habe für unsere Instanz lsbt.me gerade die Möglichkeit der Registrierung deaktiviert.

Den Grund seht ihr im Anhang.

Aktuell geht eine Registrierungswelle durch das ganze Fediverse. Auch andere Instanzen berichten davon. Ich weiss nicht, was das für Registrierungen sind und was die für einen Sinn haben, aber sie überschwemmen gerade das ganze Fediverse.

Bis auf Weiteres sind deshalb bei uns Registrierungen deaktiviert.

Update:

Die eigentlichen Registrierungen kamen über die Mastodon-API:

POST /api/v1/accounts

Nicht über normale Browser-UI. Der User-Agent war durchgehend:

Python/3.10 aiohttp/3.14.3

Am 10.09.2026 gab es 81 Requests auf diese Route, davon 47 allein in der Stunde 16 Uhr. Fast jede Registrierung kam von einer anderen IP. Die IPs tauchen im Nginx-Log genau passend als POST /api/v1/accounts auf, z. B.:

60.71.247.207  POST /api/v1/accounts  Python/3.10 aiohttp/3.14.3
153.173.5.131  POST /api/v1/accounts  Python/3.10 aiohttp/3.14.3
126.47.110.125 POST /api/v1/accounts  Python/3.10 aiohttp/3.14.3

Die Reverse-DNS-Auflösung zeigt überwiegend japanische Residential-/Mobile-Provider, u. a. docomo.ne.jp, au-net.ne.jp, au-hikari.ne.jp, ocn.ne.jp, bbtec.net, eonet.ne.jp, commufa.jp, ucom.ne.jp, miyazaki-catv.ne.jp.

Am besten blockt man die auf webserver Ebene, zum Beispiel via nginx:

POST /api/v1/accounts + User-Agent Python/3.10 aiohttp/3.14.3 → blocken

Also zum Beispiel so:

map "$request_method:$uri:$http_user_agent" $block_bad_signup_bot {
    default 0;
    "~^POST:/api/v1/accounts:Python/3\.10 aiohttp/3\.14\.3" 1;
}

server {
    if ($block_bad_signup_bot) {
        return 403;
    }

    ...
}

LG Christin

@michaela @njakob @MikeGorden
#fediverse #mastodon #registrationspam #spam #registration #Automatedprotocoldeliverabilityprobe #lsbt

en
🏳️‍⚧️ Christin Löhner 🏳️‍🌈@christin@lsbt.me

Replying to @⁨donelias@mastodon.cr⁩

@donelias
lsbt.me/@christin/117250736158

🏳️‍⚧️ Christin Löhner 🏳️‍🌈@christin@lsbt.me

Dear #Fediverse and #Mastodon admins

currently there is a massive wave of spam registrations everywhere in the fediverse.

For mastodon, I have a solution that works for me:

Create new file /etc/nginx/conf.d/lsbt-registration-spam.conf:

  map "$request_method:$uri:$http_user_agent" $block_lsbt_registration_spam {
    default 0;
    ~^POST:/api/v1/accounts:Python/3\.[0-9]+\ aiohttp/ 1;
  }

Add to the server block in /etc/nginx/sites-available/mastodon:

  location = /api/v1/accounts {
    if ($block_lsbt_registration_spam) {
      return 403;
    }

    try_files $uri @proxy;
  }

@michaela @njakob @MikeGorden
#fediverse #mastodon #registrationspam #spam #registration #Automatedprotocoldeliverabilityprobe #lsbt