# Whitelist di fabbrica di Velmo.
#
# Vale in protetta, dove vince su blacklist di fabbrica, blocchi automatici e
# analisi a riposo, e in aggressiva, dove è l'elenco di ciò che passa (spec
# docs/spec/2026-09-14-blocco-per-nome-design.md, §2 e §3). Si costruisce a
# monte, prima del rilascio, con la procedura di docs/liste/whitelist.md; sul
# dispositivo non si impara niente.
#
# Entra solo un nome verificato con una prova: l'app o il televisore lo usano
# per funzionare, e il nome non trasporta tracciamento, telemetria, registri o
# raccolta di dati. Mai voci «da verificare»: il lettore scarta ogni riga con
# un'origine che non sia una di quelle qui sotto, e un nome senza prova si
# toglie invece di restare in attesa.
#
# --- formato -----------------------------------------------------------------
#
# Una riga di versione, una sola, letta dal codice e mostrata dalla console:
#
#   versione    AAAA-MM-GG.N
#
# Poi una voce per riga, con la categoria come prima parola:
#
#   infrastruttura  nome esatto   tipo       origine
#   servizio        nome esatto   app        origine
#   famiglia        dominio       forma=nome app  origine
#
# infrastruttura  nomi sicuri che servono a qualunque televisore, di qualunque
#                 marca. Il tipo è uno di: ora, connessione, certificati
#                 (OCSP e liste di revoca), risorse (font e risorse statiche),
#                 licenze (orologio e licenze DRM). Nessun altro.
# servizio        i nomi di un'app, con l'app di appartenenza. In aggressiva le
#                 app ammesse restano poche per scelta.
# famiglia        i nodi video di un'app, che cambiano nome per nodo o per
#                 modello: sempre di categoria servizio, sempre con una forma
#                 scritta nel codice (ammessi.go e velmo-ammessi), mai un jolly o
#                 un'espressione scritta qui. Root accetta solo le famiglie di
#                 questo file, con la loro forma: velmod può toglierne, non
#                 aggiungerne. Una famiglia sotto una CDN con altri clienti porta
#                 il nome del servizio nella forma (cdnraivod), o l'account del
#                 servizio scritto per intero (streamcdnr, hash dell'account Rai).
#
# Nome esatto: niente jolly, niente domini interi, niente espressioni regolari.
#
# origine:
#   banco-AAAA-MM        visto passare dai televisori del banco (LG webOS e
#                        Samsung Tizen), con la prova nel commento
#   certificato-AAAA-MM  punto di revoca (OCSP o lista di revoca) scritto nei
#                        certificati presentati dai nomi di questa lista, letti
#                        quel mese con openssl s_client
#   base                 documentazione pubblica di chi gestisce il nome (ora e
#                        controllo di connessione), o il certificato del sito
#                        dell'autorità stessa per i punti di revoca delle
#                        autorità più diffuse: uguale per tutti
#
# --- cosa NON c'è, e perché --------------------------------------------------
#
#   - le 34 voci «a-mano-da-verificare» della bozza del 13 settembre 2026
#     (Disney+, Max, DAZN, Pluto TV, Twitch e le altre; www.primevideo.com,
#     atv-ps-eu.primevideo.com, www.nowtv.it, tv.apple.com, gizmo.rakuten.tv).
#     Il 14 settembre 2026 nessuna compare nei registri DNS dei due televisori
#     (12-14 settembre) né in una stretta di mano TLS. youtubei.googleapis.com
#     è stato chiesto solo da 10.42.0.240, che non è un televisore, e porta
#     anche /youtubei/v1/log_event, i registri di YouTube;
#   - www.rai.it: tre domande del Samsung e una di 10.42.0.56 all'apertura di
#     RaiPlay (14 settembre 2026), nessuna stretta di mano in nessuna cattura;
#   - cdnraivodostr8.msvdn.net e streamcdng17-cdnraivodostr8.msvdn.net: chiesti
#     il 10 settembre 2026 alle 08:45 da 10.42.0.60 dopo mediapolisvod.rai.it, un
#     video on demand di RaiPlay. Solo domande DNS di un registro senza numero di
#     domanda e senza flussi: la forma cdnraivod non si allarga senza una
#     connessione vista;
#   - video, player, static, cache e guidatv.sky.it: nessuna app Sky sul banco.
#     L'LG li chiede il 12 settembre 2026 alle 20:48, nel browser, aprendo
#     www.tv8.it insieme a smetrics.sky.it, cmp.sky.it, omtrdc.net e ai siti di
#     pubblicità: una pagina web, non un'app del televisore;
#   - oca-api.netflix.com e il ramo ocga della forma oca: sono la gara di
#     latenza di Netflix (FTL), misura e non contenuto (spec §9). Sul banco i
#     nodi .ocga hanno fatto solo sonde da circa 10 KB;
#   - cdn-0.nflximg.com: 868 domande DNS e nessuna connessione, né TLS né verso
#     gli indirizzi Akamai che il DNS dava (23.202.156.x), dal 12 al 14 settembre
#     2026. Netflix non lo usa per funzionare;
#   - r10.o.lencr.org e r11.o.lencr.org: Let's Encrypt ha chiuso i risponditori
#     OCSP nel 2025, e il 14 settembre 2026 i due nomi non si risolvono più;
#   - www.google.com: ospita anche /gen_204 e le chiamate di registro della
#     ricerca. Sul banco lo chiede il browser dell'LG con le pagine di Google;
#   - csi.gstatic.com (Client Side Instrumentation, misura dei tempi di
#     pagina), t1/t2.gstatic.com e s2.googleusercontent.com (miniature e icone
#     dei siti, con l'indirizzo del sito nella richiesta), consent.google.com
#     (registra la scelta sul consenso, chiesto solo dal browser dell'LG il 12
#     settembre alle 20:47 insieme ai siti di pubblicità), clients1/4.google.com
#     (servizi diversi sotto un nome, non separabili);
#   - browser.samsungcloudcdn.com: due domande del Samsung (14 settembre alle
#     13:08 e alle 14:17), nessuna connessione, e alla radice risponde con
#     un'immagine PNG di 68 byte. Nessuna prova che serva;
#   - tvpnlinupepgpeu.samsungcloud.tv: la guida dei canali di Samsung TV Plus
#     (file statici su S3, 6,3 MB scesi). Samsung TV Plus resta fuori per
#     decisione del 14 settembre 2026, e senza i canali la guida non serve;
#   - lgtvonline.lge.com: la prova di connessione di webOS (pagina «LDAS»), 13
#     domande dell'LG ma nessuna connessione registrata e nessuna cattura HTTP.
#     lge.com è telemetria-tv per natura/regole.txt: senza prova resta fuori;
#   - i nodi video che scendono da CDN condivise senza un nome che dica di chi
#     sono (cloudfront.net, akamaized.net...): una famiglia li aprirebbe per
#     mezzo internet;
#   - i nodi video di Prime Video, NOW e Rakuten TV: il 14 settembre 2026 le
#     app si sono fermate al primo nome, e nessun nodo video è mai passato sul
#     banco (spec aggressiva §12.9);
#   - Samsung TV Plus: il canale scende da <id>.wurl.com, e l'indirizzo del
#     flusso è la richiesta di inserzione di Wurl, con i parametri pubblicitari
#     dell'apparecchio;
#   - lo Smart Hub di Samsung (samsungqbe.com, configprd.samsungcloudsolution.net):
#     il 14 settembre 2026 alle 15:16 erano tutti fermati, e Netflix e RaiPlay
#     sono partiti lo stesso;
#   - tutto ciò che sta sotto googlevideo.com e non ha la forma di un nodo:
#     eligibility-panelresearch e <uuid>-panelresearch sono Google Panel
#     Research, misurazione di chi guarda;
#   - telemetria e registri dei servizi anche quando visti sul banco
#     (logs.netflix.com, customerevents.netflix.com, ichnaea.netflix.com,
#     nrdp.push.prod.netflix.com, smetrics.sky.it...): un test
#     (TestNessunNomeDiFabbricaRiporta) ferma ogni nome che il motore delle
#     nature dà come riporto;
#   - la misurazione dentro le app anche quando l'app la chiede a ogni avvio
#     (analyticsehnwe.servicebus.windows.net, sb.scorecardresearch.com,
#     nrdp.prod.ftl.netflix.com);
#   - gli aggiornamenti dei produttori (otnprdN.samsungcloudsolution.net,
#     www.samsungotn.net, otn1.samsungcloudcdn.com): nessuna app ne ha bisogno.

versione 2026-09-20.2

# === INFRASTRUTTURA ==========================================================

# --- ora ---------------------------------------------------------------------
# Fonti: Google Public NTP (developers.google.com/time: time.google.com e
# time1-4.google.com), NTP Pool (ntppool.org/use: pool.ntp.org e 0-3.pool.ntp.org),
# Apple (time.apple.com, time.euro.apple.com), Cloudflare (time.cloudflare.com),
# Microsoft (time.windows.com), Android (time.android.com). Senza l'ora giusta
# i certificati risultano scaduti e non si collega più niente.
infrastruttura time.google.com                  ora           base
infrastruttura time1.google.com                 ora           base
infrastruttura time2.google.com                 ora           base
infrastruttura time3.google.com                 ora           base
infrastruttura time4.google.com                 ora           base
infrastruttura time.android.com                 ora           base
infrastruttura time.apple.com                   ora           base
infrastruttura time.euro.apple.com              ora           base
infrastruttura time.cloudflare.com              ora           base
infrastruttura time.windows.com                 ora           base
infrastruttura pool.ntp.org                     ora           base
infrastruttura 0.pool.ntp.org                   ora           base
infrastruttura 1.pool.ntp.org                   ora           base
infrastruttura 2.pool.ntp.org                   ora           base
infrastruttura 3.pool.ntp.org                   ora           base
# L'orologio dei Samsung: 29 domande, 58 connessioni quasi tutte HTTP, pochi KB
# in tre giorni (12-14 settembre 2026). Per suffisso sarebbe telemetria-tv, e
# natura/regole.txt lo dice «piattaforma» per nome esatto.
infrastruttura time.samsungcloudsolution.com    ora           banco-2026-09

# --- controllo di connessione ------------------------------------------------
# Fonti: Android (connectivitycheck.gstatic.com, connectivitycheck.android.com,
# clients3.google.com /generate_204), Apple (captive.apple.com), Microsoft NCSI
# (www.msftconnecttest.com). Senza, il televisore si dichiara scollegato.
# connectivitycheck.gstatic.com è anche sul banco: 19 domande dell'LG.
infrastruttura connectivitycheck.gstatic.com    connessione   base
infrastruttura connectivitycheck.android.com    connessione   base
infrastruttura clients3.google.com              connessione   base
infrastruttura captive.apple.com                connessione   base
infrastruttura www.msftconnecttest.com          connessione   base

# --- certificati: OCSP e liste di revoca -------------------------------------
# Un elenco pubblico di certificati revocati, uguale per tutti, senza nulla
# dell'apparecchio. Il 14 settembre 2026 i certificati dei nomi di questa lista
# (openssl s_client -showcerts) scrivono questi punti di revoca; i punti «CA
# Issuers» (cacerts.*, crt.*, i.pki.goog) non entrano: i televisori ricevono
# gli intermedi nella stretta di mano, e sul banco nessuno li ha mai chiesti.
#
# DigiCert: Netflix (nodi oca e occ, assets.nflxext.com, nrdp.*), RaiPlay,
# NOW, Rakuten TV, Apple, PlayReady. ocsp.digicert.com è anche sul banco: 22
# domande del Samsung, 35 connessioni (13-14 settembre 2026).
infrastruttura ocsp.digicert.com                certificati   banco-2026-09
infrastruttura crl3.digicert.com                certificati   certificato-2026-09
infrastruttura crl4.digicert.com                certificati   certificato-2026-09
# GeoTrust e Symantec (oggi DigiCert): api.amazon.com e le API di Prime Video
# sotto amazonvideo.com. EasyPrivacy ha «||geotrust.com^$third-party», ma è la
# regola dei sigilli di fiducia nelle pagine web, solo di terza parte in un
# browser: non riguarda l'OCSP.
infrastruttura status.geotrust.com              certificati   certificato-2026-09
infrastruttura cdp.geotrust.com                 certificati   certificato-2026-09
infrastruttura s.symcd.com                      certificati   certificato-2026-09
infrastruttura s.symcb.com                      certificati   certificato-2026-09
# Thawte (oggi DigiCert): i nodi di RaiPlay su MainStreaming (msvdn.net).
infrastruttura status.thawte.com                certificati   certificato-2026-09
infrastruttura cdp.thawte.com                   certificati   certificato-2026-09
# Google Trust Services: YouTube (nodi rr-sn, i.ytimg.com, yt3.ggpht.com),
# gstatic.com, clients3.google.com. c.pki.goog è anche sul banco: 3 domande
# del Samsung il 14 settembre 2026 alle 06:37, all'apertura di RaiPlay, bloccato
# per errore in una simulazione dello stesso giorno. o.pki.goog è il
# risponditore OCSP dei certificati GTS emessi prima del 2024.
infrastruttura ocsp.pki.goog                    certificati   certificato-2026-09
infrastruttura o.pki.goog                       certificati   base
infrastruttura c.pki.goog                       certificati   banco-2026-09
infrastruttura crl.pki.goog                     certificati   certificato-2026-09
# Sectigo e USERTrust, GlobalSign: fra le autorità più diffuse, nessun nome
# della lista oggi. I punti sono quelli scritti il 14 settembre 2026 nei
# certificati di www.sectigo.com e di www.globalsign.com.
infrastruttura ocsp.sectigo.com                 certificati   base
infrastruttura crl.sectigo.com                  certificati   base
infrastruttura ocsp.usertrust.com               certificati   base
infrastruttura crl.usertrust.com                certificati   base
infrastruttura ocsp.globalsign.com              certificati   base
infrastruttura crl.globalsign.com               certificati   base
# Apple: mediaservices.cdn-apple.com, captive.apple.com.
infrastruttura ocsp.apple.com                   certificati   certificato-2026-09
infrastruttura crl.apple.com                    certificati   certificato-2026-09
# Amazon Trust Services: LG Channels (lgchannels.ott-channels.stingray.com,
# intermedio R2M01, radici Root CA 1 e Root G2).
infrastruttura ocsp.r2m01.amazontrust.com       certificati   certificato-2026-09
infrastruttura crl.r2m01.amazontrust.com        certificati   certificato-2026-09
infrastruttura ocsp.rootca1.amazontrust.com     certificati   certificato-2026-09
infrastruttura crl.rootca1.amazontrust.com      certificati   certificato-2026-09
infrastruttura ocsp.rootg2.amazontrust.com      certificati   certificato-2026-09
infrastruttura crl.rootg2.amazontrust.com       certificati   certificato-2026-09
# Microsoft: secureclock.playready.microsoft.com e go.microsoft.com.
infrastruttura oneocsp.microsoft.com            certificati   certificato-2026-09
infrastruttura crl2.microsoft.com               certificati   certificato-2026-09
# Let's Encrypt, liste di revoca (Let's Encrypt non risponde più in OCSP). Il
# Samsung le chiede il 14 settembre 2026 alle 15:17, subito dopo la stretta di
# mano con rai-prod-gtm.harperdbcloud.com e il primo nodo di RaiPlay: x1, x2 e
# ye le radici (ISRG Root X1, X2 e YE), ye2 un'intermedia. ye1 è l'intermedia
# del certificato di rai-prod-gtm.harperdbcloud.com letto lo stesso giorno.
infrastruttura x1.c.lencr.org                   certificati   banco-2026-09
infrastruttura x2.c.lencr.org                   certificati   banco-2026-09
infrastruttura ye.c.lencr.org                   certificati   banco-2026-09
infrastruttura ye2.c.lencr.org                  certificati   banco-2026-09
infrastruttura ye1.c.lencr.org                  certificati   certificato-2026-09

# --- risorse: font e risorse statiche ----------------------------------------
# gstatic.com è il dominio senza cookie con cui Google serve file statici. Sul
# banco www.gstatic.com è il nome più chiesto dopo le API di Netflix: 186
# strette di mano TLS fra LG e Samsung, 6,8 MB scesi e 314 KB saliti; l'LG lo
# chiede ogni 30 minuti anche di notte (12-13 settembre 2026). Bloccato per
# errore dall'analisi il 12 settembre e in una simulazione il 14.
infrastruttura www.gstatic.com                  risorse       banco-2026-09
# I font di Google: l'LG li scarica il 12 settembre 2026 alle 20:47, 2 strette
# di mano TLS. Solo file di font. ssl.gstatic.com, chiesto nello stesso minuto,
# non entra: una domanda DNS e nessuna stretta di mano.
infrastruttura fonts.gstatic.com                risorse       banco-2026-09
# Le immagini servite da Google (copertine, avatar dei canali): 14 domande fra
# LG e Samsung, 8 strette di mano, 1,1 MB scesi e 72 KB saliti, sempre accanto a
# www.gstatic.com (13 settembre 09:43 e 14 settembre 13:06 sul Samsung).
# Nome esatto: googleusercontent.com ospita anche contenuti di chiunque, e non
# si apre mai per famiglia.
infrastruttura lh3.googleusercontent.com        risorse       banco-2026-09

# --- licenze: orologio e licenze DRM ------------------------------------------
# L'orologio sicuro di PlayReady, il DRM di Microsoft usato da LG e Samsung:
# secureclock sul Samsung (4 domande), securetime sull'LG (5 domande, 13
# settembre 2026 alle 15:39 e alle 19:48, durante Netflix). go.microsoft.com è
# il rinvio con cui PlayReady trova i suoi servizi: 3 domande per televisore.
infrastruttura secureclock.playready.microsoft.com licenze    banco-2026-09
infrastruttura securetime.playready.microsoft.com  licenze    banco-2026-09
infrastruttura go.microsoft.com                 licenze       banco-2026-09

# === SERVIZI =================================================================

# --- nodi video per famiglia (14 settembre 2026) -----------------------------
#
# Scelte sui dati del banco (archivio e registro DNS del 12-14 settembre 2026,
# LG webOS e Samsung Tizen). Per ognuna, i nomi visti e la loro natura.
#
# nflxvideo.net, forma oca - Open Connect di Netflix, i nodi video:
#   ipv4-cNNN-milNNN-ix.1.oca e ipv4-cNNN-lin003-wind-isp.1.oca, 16 nomi, tutti
#   «contenuti», nessuno bloccato. Circa 1 GB in discesa verso indirizzi con un
#   nome TLS di questa famiglia. Il ramo ipv4-gNNN-<sito>-ix.1.ocga non c'è più
#   (spec §9): è la gara di latenza FTL, 11 nomi in 11 città d'Europa contattati
#   tutti insieme dall'LG il 13 settembre alle 15, con sonde da circa 10 KB.
famiglia nflxvideo.net    forma=oca              netflix         banco-2026-09
# nflxso.net, forma occ - Open Connect di Netflix per immagini e anteprime: un nome,
#   occ-0-6432-778.1.nflxso.net, variabile per regione e profilo, «contenuti».
#   Servito dagli stessi apparati dei nodi video (151.5.17.x): circa 920 MB in
#   discesa, fra LG e Samsung, verso indirizzi con quel nome TLS.
famiglia nflxso.net       forma=occ              netflix         banco-2026-09
# googlevideo.com - i nodi di YouTube, solo con la forma rr-sn: rrN---sn-xxxx
#   e rrN.sn-xxxx, 46 nomi fra i due televisori, «contenuti», nessuno
#   bloccato, circa 380 MB in discesa. Sotto lo stesso dominio ci sono eligibility-panelresearch e
#   <uuid>-panelresearch: Google Panel Research, misurazione di chi guarda. La
#   famiglia intera li aprirebbe, la forma no.
famiglia googlevideo.com  forma=rr-sn            youtube         banco-2026-09
# msvdn.net, forma cdnraivod - i nodi dei video on demand di RaiPlay su
#   MainStreaming: cdnraivoddomN, l'unico nodo visto. La forma si allarga solo
#   quando compaiono altri nodi reali (revisione del 14 settembre 2026: con
#   «lettere e cifre» avrebbe aperto anche cdnraivodlogs1). Alle 15:18 del 14
#   settembre il Samsung, in aggressiva, chiede mediapolisvod.rai.it e poi
#   cdnraivoddom7.msvdn.net (178.248.50.2 e .7), fuori lista: la home c'è, il
#   video non parte. msvdn.net ha altri clienti (<hash>.msvdn.net di altri
#   account): la famiglia intera li aprirebbe, la forma con «cdnrai» no.
famiglia msvdn.net        forma=cdnraivod        raiplay         banco-2026-09
# msvdn.net, forma streamcdnr - i nodi delle dirette di RaiPlay, con l'hash
#   dell'account Rai scritto per intero nella forma (15 settembre 2026):
#   streamcdnrN-8e7439fdb1694c8da3a0fd63e4dda518. Il 15 settembre alle 10:39:43,
#   Samsung in aggressiva, RaiPlay chiede mediapolis.rai.it, poi il punto
#   dell'account (8e7439….msvdn.net, ammesso) e nello stesso secondo
#   streamcdnr9-8e7439….msvdn.net, fermato «fuori-whitelist» due volte: la
#   diretta non parte, e dopo non c'è altro. Lo stesso giorno alle 09:29 l'LG, in
#   protetta, guarda la diretta da streamcdnr17-8e7439….msvdn.net: 5,1, 5,1 e
#   6,0 MB scesi in tre connessioni verso 45.157.64.18. streamcdnr9 anche il 10
#   settembre 2026 alle 19:02 (10.42.0.60). Natura «contenuti», in nessuna lista
#   pubblica. Con l'hash nella forma gli altri clienti di MainStreaming restano
#   fuori.
famiglia msvdn.net        forma=streamcdnr       raiplay         banco-2026-09
# msvdn.net, forma streamcdnr-vod - i nodi on demand di RaiPlay con due numeri,
#   streamcdnrN-cdnraivoddomN. Il 17 settembre 2026 alle 11:16 l'LG, in
#   aggressiva sul router, apre un video on demand e streamcdnr9-cdnraivoddom8
#   (45.157.64.10) è fermato «fuori-whitelist» due volte: il video non parte.
#   La forma porta sia «streamcdnr» sia «cdnraivoddom», il nome di Rai.
famiglia msvdn.net        forma=streamcdnr-vod   raiplay         banco-2026-09
# akamaized.net, forma rai-live - le dirette di RaiPlay: raiNOMEn-live. Il 17
#   settembre 2026 l'LG in aggressiva chiede mediapolis.rai.it alle 11:14:16 e
#   raiuno1-live un secondo dopo: rifiutato, la diretta non parte; ammesso, Rai 1
#   va. Lo stesso per raidue1. Risolti quel giorno anche raitre1, raiquattro1,
#   rainews1, raimovie1, raipremium1, raigulp1, raiyoyo1, raistoria1 e
#   raiscuola1. akamaized.net è una CDN condivisa: la forma sta lì solo perché
#   porta il nome di Rai (famiglia.FormeSuCdnCondivise).
famiglia akamaized.net    forma=rai-live         raiplay         banco-2026-09
# akamaized.net, forma rai-creative - le immagini di RaiPlay: creativemediaN-rai-it
#   (3 e 4, chiesti dall'LG all'apertura dell'app il 17 settembre 2026).
famiglia akamaized.net    forma=rai-creative     raiplay         banco-2026-09
# akamaized.net, forma rai-vod - i contenuti registrati di RaiPlay: la diretta
#   funzionava e un programma on demand no, e il guardiano fermava
#   vod3-rai-it.akamaized.net «fuori-whitelist» (prova del 19 settembre 2026,
#   LG in aggressiva sul router). Stessa regola delle altre forme Rai su una CDN
#   condivisa: il nome del servizio sta dentro la forma.
famiglia akamaized.net    forma=rai-vod          raiplay         banco-2026-09
# msvdn.net, forma cdnraivod-ostr - gli altri nodi on demand di RaiPlay:
#   cdnraivodostr8 e cdnraivodostr9, fermati insieme a vod3-rai-it nella stessa
#   prova. La forma «cdnraivod» non li copriva perché vuole «dom» dopo «raivod».
famiglia msvdn.net        forma=cdnraivod-ostr   raiplay         banco-2026-09
# netrw.it, forma rai-push - le stesse dirette sulla seconda rete di Rai:
#   raiNOMEn-push.cdn. Rai 4 non partiva con raiquattro1-live ammesso: l'LG
#   chiedeva anche raiquattro1-push.cdn.netrw.it (17 settembre 2026, 11:22).
#   Risolti raitre1, raiquattro1, raimovie1, raipremium1, raigulp1, raiyoyo1,
#   raistoria1 e raiscuola1; raiuno1, raidue1 e rainews1 non ci sono.
famiglia netrw.it         forma=rai-push         raiplay         banco-2026-09
# amazonvideo.com, forma avpk - l'API di Prime Video, con il tipo di
#   apparecchio nel nome: avpk-aydgjrhm5vyk4-0.api (Samsung, 14 settembre 2026
#   alle 14:17 e alle 15:18, prima e unica domanda dell'app, fuori lista) e
#   avpk-aest21gfeibs-0.api con threeplr-aest21gfeibs-0.zaz.api (LG, 12
#   settembre, in protetto, all'avvio dell'app). Natura «contenuti». Un nome
#   esatto varrebbe per un modello solo. Se l'app riporta la visione dallo
#   stesso nome, cifrato, Velmo non lo separa (§12.7). Nessun nodo video di
#   Prime Video è mai passato sul banco.
#   Dal 15 settembre 2026 anche avpk-<tipo>-N.f.api: alle 10:41:12 il Samsung, in
#   aggressiva, apre Prime Video con avpk-aydgjrhm5vyk4-0.api (ammesso, 131 KB
#   scesi) e un secondo dopo chiede avpk-aydgjrhm5vyk4-0.f.api, fermato
#   «fuori-whitelist» 30 volte fino alle 10:43 senza un byte in risposta: l'app
#   si ferma lì. È la stessa API su Fastly invece che su CloudFront: stesso
#   certificato (stessa impronta SHA-256, SAN *.api e *.f.api.amazonvideo.com),
#   stesso gateway Amazon (amz-gw-fbl), anelli gemelli
#   fastly-weighted.f.prod.ter.int e t100-weighted.c001.glo.prod.t100.ter.int.
famiglia amazonvideo.com  forma=avpk             primevideo      banco-2026-09
# amazonvideo.com, forma prime-api - l'API di Prime Video con quattro lettere o
#   cifre: qgmg.api (LG in aggressiva, 17 settembre 2026: fermata, Prime Video
#   non arrivava alla home), toqs, s0s7, keho e p7kg.api (Samsung, dal rapporto
#   dei nomi fermati dello stesso giorno). Tutti con i certificati dell'API
#   (CN t300.api.cer.amazonvideo.com e t100na.api.cer.amazonvideo.com, SAN
#   *.api.amazonvideo.com), davanti a CloudFront o a Fastly. La forma non apre
#   un livello in più: toqs.logs.api resta fuori.
famiglia amazonvideo.com  forma=prime-api        primevideo      banco-2026-09
# Il video di Prime Video. Rilievo del 18 settembre 2026 sul router, LG in
#   aggressiva: la home si apre (avpk, qgmg.api, m.media-amazon.com, xp-assets
#   sono ammessi fra le 18:42:14 e le 18:42:49) e alla pressione di Play il
#   guardiano ferma «fuori-whitelist» a161/a183/a188vod-dash-pv-ta-amazon.
#   akamaized.net, ripetuti fino alle 18:43:46, mentre il DNS nega
#   avoddashs3ww-a e a263avoddashs3ww-a.akamaihd.net e quattro nomi sotto
#   *.vod-dash.main.amazon.pv-cdn.net. Sono i manifest e i segmenti DASH: senza,
#   il video non parte. Le prime due stanno su CDN condivise e portano dentro il
#   nome del servizio («vod-dash-pv-ta-amazon», «avoddashs…ww-a»), come le forme
#   Rai; la terza sta sul dominio proprio di Amazon.
famiglia akamaized.net    forma=prime-vod        primevideo      banco-2026-09
famiglia akamaihd.net     forma=prime-vod-hd     primevideo      banco-2026-09
famiglia pv-cdn.net       forma=prime-pvcdn      primevideo      banco-2026-09

# --- Netflix -------------------------------------------------------------------
servizio api-global.netflix.com                 netflix         banco-2026-09
servizio secure.netflix.com                     netflix         banco-2026-09
servizio uiboot.netflix.com                     netflix         banco-2026-09
servizio nrdp.prod.cloud.netflix.com            netflix         banco-2026-09
servizio nrdp.ws.prod.cloud.netflix.com         netflix         banco-2026-09
servizio nrdp.nm.push.prod.netflix.com          netflix         banco-2026-09
servizio nrdp51-appboot.netflix.com             netflix         banco-2026-09
servizio nrdp52-appboot.netflix.com             netflix         banco-2026-09
servizio nrdp80-appboot.netflix.com             netflix         banco-2026-09
servizio assets.nflxext.com                     netflix         banco-2026-09
# Il passaggio verso il gateway dei partner di Netflix (CNAME
# prod.partner.dradis.netflix.com) per l'integrazione Pre-App: ciò che il
# televisore mostra di Netflix fuori dall'app. Natura «contenuti»; sul banco 3
# connessioni, 11 KB saliti e 19 KB scesi. Il 13 settembre 2026 alle 09:39 il
# Samsung, in una visione riuscita, lo ha chiesto un secondo prima del primo
# nodo video; il 14 settembre, in aggressiva, lo ha richiesto a vuoto ogni
# 40-60 secondi, e il video si è fermato (spec aggressiva §12.8).
servizio preapp.prod.partner.netflix.net        netflix         banco-2026-09

# --- YouTube -------------------------------------------------------------------
servizio www.youtube.com                        youtube         banco-2026-09
servizio i.ytimg.com                            youtube         banco-2026-09
# Il rinvio verso un nodo quando quello scelto non risponde: sul Samsung, il 13
# settembre 2026 alle 09:43, è stato chiesto subito prima dei nodi da cui sono
# scesi 123 MB. Nome fisso, quindi nome esatto e non famiglia.
servizio redirector.googlevideo.com             youtube         banco-2026-09
servizio yt3.ggpht.com                          youtube         banco-2026-09

# --- Prime Video ---------------------------------------------------------------
servizio api.amazon.com                         primevideo      banco-2026-09
servizio images-eu.ssl-images-amazon.com        primevideo      banco-2026-09
# Prova del 17 settembre 2026, LG in aggressiva sul router: Prime Video non
# arrivava alla home. Fermati o rifiutati, e poi ammessi: l'API qgmg (fermata
# sette volte alle 11:19), la grafica dell'app sulle tre reti xp-assets di
# aiv-cdn.net, le immagini di m.media-amazon.com e l'API di accesso inglese,
# gemella di api.amazon.com. Restano fuori unagi-eu/unagi-na.amazon.com,
# global.telemetry.insights.video.a2z.com e minerva.devices.a2z.com: sono le
# misure e la telemetria di Amazon.
servizio qgmg.api.amazonvideo.com               primevideo      banco-2026-09
servizio cloudfront.xp-assets.aiv-cdn.net       primevideo      banco-2026-09
servizio fastly.xp-assets.aiv-cdn.net           primevideo      banco-2026-09
servizio akamai.xp-assets.aiv-cdn.net           primevideo      banco-2026-09
servizio m.media-amazon.com                     primevideo      banco-2026-09
servizio api.amazon.co.uk                       primevideo      banco-2026-09

# --- RaiPlay -------------------------------------------------------------------
servizio www.raiplay.it                         raiplay         banco-2026-09
servizio mediapolis.rai.it                      raiplay         banco-2026-09
servizio mediapolisvod.rai.it                   raiplay         banco-2026-09
# Il server dati di Rai su HarperDB, una base dati con server applicativo:
# CNAME prod.rai-harperdb.akadns.net (Global Traffic Management di Akamai, che
# instrada al nodo più vicino, non Google Tag Manager), certificato per
# rai-prod-it-mil01.harperdbcloud.com, un gruppo dedicato a Rai a Milano; al
# posto della home risponde «Not found» e /status «Status endpoint is reporting
# for duty». Natura «contenuti». Il Samsung lo chiede subito dopo
# atomatic.rai.it all'apertura di RaiPlay (14 settembre 2026 alle 06:37 e alle
# 13:06); in aggressiva era l'unico nome fuori lista di RaiPlay che non fosse
# analitica, e la home non si caricava. Nome esatto: harperdbcloud.com è
# una piattaforma condivisa, e nessuna famiglia.
servizio rai-prod-gtm.harperdbcloud.com         raiplay         banco-2026-09
# Il gateway delle API di RaiPlay. ENTRA CON UN COMPROMESSO ACCETTATO: sotto lo
# stesso nome escono anche i registri di Rai, la ricerca con
# /atomatic/raiplay-su-service/api/activity/search (registro delle ricerche),
# /api/v2/seeks (i punti di visione) e il cookie raiPredictionTrackCookie
# (codice di www.raiplay.it, 14 settembre 2026); il nome è in HaGeZi Multi PRO
# (versione del 14 settembre 2026). Il committente l'ha accettato il 15
# settembre 2026: Rai è un fornitore noto, e l'aggressiva serve a proteggere
# dallo sconosciuto; il prezzo è un piccolo tracciamento su RaiPlay. Non è un
# precedente per altri nomi con registri: ognuno si decide con il committente.
# Prova dal banco: il Samsung lo chiede all'apertura di RaiPlay il 14 settembre
# 2026 alle 06:37:13 e alle 13:06:41, subito prima di rai-prod-gtm.harperdbcloud.com;
# l'LG il 15 settembre alle 09:29:07, in protetta, prima di rai-prod-gtm e della
# diretta. Non ha mai una stretta di mano sua nelle catture (12-15 settembre):
# risolve allo stesso indirizzo Akamai di www.raiplay.it e mediapolis.rai.it
# (184.25.54.53, e12563.a.akamaiedge.net) e ha lo stesso certificato (CN
# www.rai.it, 100 nomi, fra cui i tre), quindi le sue richieste viaggiano nelle
# connessioni già aperte per www.raiplay.it (HTTP/2): anche fuori lista i
# registri potevano uscire lì dentro, e Velmo non li separa per connessione.
# Natura «contenuti» per rai.it: nessuna eccezione in TestNessunNomeDiFabbricaRiporta.
servizio atomatic.rai.it                        raiplay         banco-2026-09
# Il punto MainStreaming dell'account Rai: l'hash è di Rai, lo stesso nelle
# dirette di RaiPlay (streamcdnr8-8e7439….msvdn.net/raiuno1/…). Il 14 settembre
# 2026 alle 15:17 il Samsung lo chiede un secondo dopo mediapolis.rai.it, il
# rinvio al video, ed è fermato. Nome esatto e non forma: una forma
# «trentadue cifre esadecimali» aprirebbe gli account di tutti i clienti di
# MainStreaming.
servizio 8e7439fdb1694c8da3a0fd63e4dda518.msvdn.net raiplay     banco-2026-09

# --- NOW -----------------------------------------------------------------------
# L'avvio dell'app NOW sul Samsung, 14 settembre 2026. sam.disco.nowtv.com:
# nome stabile (lo stesso alle 09:42 e alle 15:19:09), prima domanda dell'app
# all'avvio, schema «disco» come meg.disco.peacocktv.com della stessa famiglia
# di app. Poi tv.clients.nowtv.com alle 15:19:26, l'app stessa, pagina
# ospitata. Tutti e due fuori lista in aggressiva, e l'app non partiva; tutti e
# due su Akamai (edgesuite.net). Dieci secondi dopo l'app chiede
# log-api.newrelic.com, i registri, che resta fuori.
servizio sam.disco.nowtv.com                    now             banco-2026-09
servizio tv.clients.nowtv.com                   now             banco-2026-09

# --- Apple TV ------------------------------------------------------------------
servizio uts-api.itunes.apple.com               appletv         banco-2026-09
servizio mediaservices.cdn-apple.com            appletv         banco-2026-09

# --- Rakuten TV ----------------------------------------------------------------
# Le immagini di Rakuten TV: CDN77 con origine su S3 (1088638146.rsc.cdn77.org
# per rakuten.tv, 1475481885.rsc.cdn77.org per wuaki.tv, il vecchio nome di
# Rakuten TV; certificato *.wuaki.tv di RAKUTEN TV EUROPE S.L.). Solo file
# statici. Il numero va da 0 a 3 in tutti i dati del banco (12-15 settembre
# 2026): nomi esatti, niente forma.
# images-2.rakuten.tv: l'LG lo usa il 15 settembre 2026 alle 09:32-09:35 con
# l'app aperta (9 connessioni, 42 e 81 KB scesi dalle due più grandi); il
# Samsung, in aggressiva, lo chiede 7 volte alle 10:42:18 aprendo Rakuten TV,
# negato nel DNS. images-0…3.wuaki.tv: il Samsung li chiede nello stesso secondo
# (11 domande, negate) e il 14 settembre alle 14:17:09 (6 domande). Mai una
# connessione, perché sempre negati: vale la domanda fermata dopo la quale l'app
# non funziona (docs/liste/whitelist.md §3). In nessuna lista pubblica.
servizio images-0.rakuten.tv                    rakutentv       banco-2026-09
servizio images-1.rakuten.tv                    rakutentv       banco-2026-09
servizio images-2.rakuten.tv                    rakutentv       banco-2026-09
servizio images-3.rakuten.tv                    rakutentv       banco-2026-09
servizio images-0.wuaki.tv                      rakutentv       banco-2026-09
servizio images-1.wuaki.tv                      rakutentv       banco-2026-09
servizio images-2.wuaki.tv                      rakutentv       banco-2026-09
servizio images-3.wuaki.tv                      rakutentv       banco-2026-09
# L'API di Rakuten TV. ENTRA CON UN COMPROMESSO ACCETTATO, con lo stesso
# criterio di atomatic.rai.it (committente, 15 settembre 2026): un fornitore
# noto la cui API porta anche la sua telemetria entra, perché l'aggressiva
# protegge dallo sconosciuto e «tutto non si può avere». Sotto lo stesso nome
# escono GET <flusso>/heartbeats con device_uid, l'identificativo
# dell'apparecchio (i punti di visione), e /me/avod/profile/ifa_subscriber_id,
# l'identificativo pubblicitario (codice dell'app per Tizen, ui-40@2.141.18,
# letto il 15 settembre 2026). Prova dal banco: l'LG, in protetta, apre Rakuten TV
# il 15 settembre 2026 alle 09:32:23 e alle 09:32:27 chiede gizmo.rakuten.tv: 6
# connessioni, 460 KB scesi dalla più grande; la pagina dell'app per Tizen
# (prod-tizen-ui40-app.rakuten.tv, qui sotto) lo dichiara come gizmoURL. Fastly
# (mbz100.rakutentvslu.map.fastly.net): nome esatto. In nessuna lista pubblica;
# natura «fast» per rakuten.tv, che non è un riporto.
servizio gizmo.rakuten.tv                       rakutentv       banco-2026-09
# rakuten.tv, forma rakuten - i servizi di Rakuten TV sotto il suo dominio, una
#   etichetta sola. ENTRA CON LO STESSO COMPROMESSO DI gizmo.rakuten.tv: il
#   dominio è del fornitore, e sotto ci passa anche la sua telemetria. Rilievo
#   del 18 settembre 2026: la home si apre (prod-webos-ui40-app,
#   prod-ui40-cloudfront, gizmo, images-0…2 ammessi fra le 18:40:58 e le
#   18:42:07) e il video non parte perché il DNS nega prod-flubber-cloudfront,
#   prod-thewire, prod-suingu e yb. Quali di questi portino manifest, licenza e
#   segmenti non si distingue dal nome, e la catena cambia con le versioni
#   dell'app: si ammette il dominio per forma, non nome per nome. Entra anche
#   csai.adprxy.rakuten.tv, che porta pubblicità: Velmo ferma il tracking che
#   esce, non la pubblicità che entra (committente, 18 settembre 2026), e un
#   inserimento pubblicitario che non risponde è uno dei modi in cui il player si
#   pianta. Ciò che va verso terzi - springserve, onetrust, doubleclick,
#   amazon-adsystem - resta fuori perché è di terzi, non perché sia pubblicità.
famiglia rakuten.tv       forma=rakuten          rakutentv       banco-2026-09
# L'interfaccia dell'app Rakuten TV: file statici su S3 dietro CloudFront
# (Server AmazonS3, Cache-Control max-age=315360000), i pacchetti JavaScript e
# CSS di React che la pagina dell'app carica (cloudfrontURL e publicURL
# https://prod-ui40-cloudfront.rakuten.tv/tizen, main.6.….js). L'LG lo chiede
# alle 09:32:23 del 15 settembre 2026 nello stesso secondo di
# prod-webos-ui40-app.rakuten.tv: 9 connessioni, 1,7 MB scesi. Nessuna chiamata
# di registro: sono file con un'impronta nel nome.
servizio prod-ui40-cloudfront.rakuten.tv        rakutentv       banco-2026-09
# L'app Rakuten TV per Tizen, pagina ospitata: la sola domanda dell'app il 14
# settembre 2026 alle 15:21, fuori lista. Il nome porta la versione
# dell'interfaccia (ui40): cambierà con la prossima, e andrà rivisto.
servizio prod-tizen-ui40-app.rakuten.tv         rakutentv       banco-2026-09
# L'app Rakuten TV per webOS, gemella di quella per Tizen: il 17 settembre 2026
# alle 11:23 l'LG, in aggressiva, la chiede all'avvio ed è rifiutata; l'app non
# parte. Stessa avvertenza sulla versione dell'interfaccia (ui40).
servizio prod-webos-ui40-app.rakuten.tv         rakutentv       banco-2026-09

# --- LG Channels ---------------------------------------------------------------
servizio lgchannels.ott-channels.stingray.com   lgchannels      banco-2026-09
# eic.lgchhomeapp.lgtvcommon.com - l'app LG Channels non arriva nemmeno alla
#   home senza questo: nel rilievo del 18 settembre 2026 il televisore lo chiede
#   ripetutamente dalle 18:40 e il DNS aggressivo risponde 0.0.0.0. È sotto
#   lgtvcommon.com, dove stanno anche i beacon di LG, che restano bloccati per
#   nome esatto (eic.cdpbeacon, aic.cdpbeacon, us.cdpbeacon): qui entra un nome
#   solo, quello dell'app, e il dominio non si apre.
#   Per famiglia con la regione davanti (20 settembre 2026): eic è l'Europa,
#   aic e us le altre. La forma nomina i tre servizi uno per uno, perché sullo
#   stesso dominio stanno i beacon di LG, che restano bloccati.
famiglia lgtvcommon.com   forma=lg-regione-launcher lgchannels   banco-2026-09
# La catena completa di LG Channels, trovata il 19 settembre 2026 lanciando l'app
#   dal banco e leggendo il registro a ogni passo (l'LG in aggressiva sul router).
#   Senza queste voci l'app diceva «I can't connect to LG Channels at the
#   moment», poi arrivava alla home e non mostrava i contenuti.
#
#   Il tappo era it.nextlgsdp.com: il televisore lo chiedeva ogni dieci secondi
#   senza fare altro, e il motore automatico l'aveva bloccato da sé. È il
#   Service Delivery Platform di LG, cioè il servizio da cui la piattaforma
#   prende lo stato: porta anche telemetria, e resta un endpoint misto che entra
#   perché senza di lui il televisore non parte (stesso criterio di
#   atomatic.rai.it e gizmo.rakuten.tv). it.rdx2 è il suo gemello.
#   Per famiglia e non «it.» scritto a mano (20 settembre 2026): in Francia lo
#   stesso televisore chiede fr.nextlgsdp.com, e con il paese cablato LG
#   Channels partiva solo in Italia. La forma prende due lettere e nient'altro,
#   quindi it.rdx2 e it.ibs restano fuori.
famiglia nextlgsdp.com    forma=sdp-paese        lgchannels      banco-2026-09
#   it.rdx2.nextlgsdp.com NON entra: l'avevo aperto insieme agli altri, ma il
#   dossier di fase 0 lo misura come riporto dei dati di visione (148 KB saliti
#   contro 135 scesi) e la blacklist di fabbrica lo blocca per quello. L'app si è
#   aperta con gli altri nomi, non con questo: senza prova che serva, resta fuori.
#   È il bersaglio di Velmo, non un suo ostacolo.
#   ngfts è il servizio da cui il televisore scarica risorse e liste; cdpsvc e
#   cdplauncher alimentano il launcher; eic.tv.wiselg.com è la piattaforma dei
#   canali. Tutti chiesti e negati mentre l'app cercava di aprirsi.
#   ngfts resta a nomi esatti, e non è una svista (20 settembre 2026). Una
#   famiglia «*-ngfts.lge.com» aprirebbe anche aic-ngfts e us-ngfts, che
#   natura/regole.txt classifica telemetria-tv per il suffisso lge.com: le
#   uniche due eccezioni misurate sono queste. Il Raspberry ha osservato
#   aic-ngfts.lge.com davvero, e velmod ha tolto la famiglia da sé - la guardia
#   di ammessi.SoloContenuto, che non apre un dominio dove ha visto un riporto.
#   Per aprire ngfts in un'altra regione serve prima averlo osservato lì.
servizio eic-ngfts.lge.com                      lgchannels      banco-2026-09
servizio ngfts.lge.com                          lgchannels      banco-2026-09
servizio ngfts.tv.wiselg.com                    lgchannels      banco-2026-09
#   eic.tv.wiselg.com resta bloccato allo stesso modo: il dossier lo classifica
#   beacon. Se togliendolo l'app smette di funzionare, torna qui con la prova.
#   I canali. Ottera è la piattaforma FAST di LG: ottera.tv serve le risorse,
#   otteravision.com i canali veri - e questa differenza di dominio è ciò che
#   teneva la home vuota anche dopo aver aperto ottera.tv. Amagi è il playout
#   (un nome per canale: famiglia), Wurl le immagini, e la distribuzione CloudFront.
famiglia ottera.tv        forma=ottera-risorse   lgchannels      banco-2026-09
famiglia otteravision.com forma=ottera-canali    lgchannels      banco-2026-09
famiglia amagi.tv         forma=amagi-playout    lgchannels      banco-2026-09
servizio img.platform.wurl.dev                  lgchannels      banco-2026-09
servizio d1biytugnv36sr.cloudfront.net          lgchannels      banco-2026-09
#   Pluto TV serve una parte dei canali: senza, quei canali non partivano mentre
#   gli altri sì, e in protetta andavano tutti (prova differenziale del 19
#   settembre).
famiglia pluto.tv         forma=pluto            lgchannels      banco-2026-09
#   La pubblicità dei canali. Brightline sono le creatività: entrano, perché
#   Velmo ferma il tracking che esce e non la pubblicità che entra.
#
#   MediaTailor NON è qui, e non per scelta: cuce lo spot dentro il flusso e
#   serve lo stesso manifest del contenuto - senza, il canale si ferma - ma i
#   suoi nomi stanno sotto mediatailor.<regione>.amazonaws.com, e amazonaws.com è
#   un suffisso pubblico, che una famiglia non può prendere. L'hash davanti
#   cambia, quindi nemmeno un nome esatto basta. Sul router del banco è aperto
#   nella whitelist di chi ci abita; nella lista di fabbrica serve un modo di
#   dire «questo sottodominio di un suffisso pubblico», che oggi non c'è
#   (ROADMAP, 19 settembre 2026).
servizio cdn-media.brightline.tv                lgchannels      banco-2026-09
