[ladan69]

Tipsport TV – kompletní technický rozbor

Tipsport má dvě úplně nezávislé platformy, které spolu technicky nesouvisí:

1. tv.tipsport.cz – veřejná TV, neplacená, bez účtu
   
2. www.tipsport.cz (sekce Live) – sázkové streamy, placené, jen pro přihlášené
   

 

---

1. Neplacený obsah: tv.tipsport.cz

Co to je: veřejná stránka se záznamy zápasů, sestřihy a několika živými kanály. Žádné přihlášení, žádné cookies.

Katalog: jeden veřejný JSON https://tv.tipsport.cz/stream.json (cache 5 min). Sekce liveMatches, upcomingMatches, vodMatches, highlights, heroMatch. Každá položka má týmy, ligu, čas, délku, thumbnail a streamUrl (což je jen ID, ne URL).

CDN: livebox (Wowza), load balancer lb1.tmo.livebox.cz

Jak se skládá URL:

• Záznamy a sestřihy: https://lb1.tmo.livebox.cz/tipsport-voda...ylist.m3u8 – load balancer vrátí master s absolutními URL na uzly (n7/n8) a do cesty vloží hash
  
• Živé kanály hrN: v aplikaci tipsport-voda neexistují (vrací zástupný filenotfound.mp4 se stavem 200), běží v jiné Wowza aplikaci – zatím neověřeno
  

Token: hash v cestě, generuje ho load balancer per-request.

• Vázaný na IP: NE (ověřeno)
  
• UA filtr: žádný (hraje i s prázdným UA)
  
• CORS: * (hraje i ve webovém přehrávači)
  
• DRM: žádné
  

Důsledek pro server: triviální. Klientovi stačí vrátit 302 na lb1 smil, token si vygeneruje jeho vlastní přehrávač. Server nenese žádný datový provoz.

Past: neexistující/skončený záznam vrací 200 se zástupným filenotfound.mp4, ne chybu. Platnost nutno kontrolovat podle řetězce "filenotfound" v obsahu, ne podle stavového kódu.

---

2. Placený obsah: www.tipsport.cz (Live sázkové streamy)

Co to je: živé přenosy u sázkových příležitostí. Jen pro přihlášené, podle hlášky Tipsportu jen pro „aktivní sázkaře".

2a. Jak se přistupuje

• POST /rest/offer/v1/live/event-groups/matches (filtr videoStream:true) → seznam ID živých zápasů se streamem – bez přihlášení: 200 OK
  
• GET /rest/offer/v3/live/matches/{id}/patches → detail + poskytovatel (stream.source) – bez přihlášení: 200 OK
  
• GET /rest/offer/v2/live/matches/{id}/stream → vlastní URL streamu – bez přihlášení: 403, jen přihlášený
  

Seznam a poskytovatele zjistíš bez účtu. Samotnou URL streamu jen s přihlášením, a i tu stránka volá s parametrem &ipv4=<IP diváka>.

2b. Přihlášení a ochrany

• Login přes BankID (oidc.bankid.cz) – server se nikdy nepřihlásí sám, cookies nutno vkládat ručně
  
• Cloudflare (cf_clearance, vázané na IP + UA) a F5 (TS01... cookies)
  
• ThreatMark behaviorální biometrie (js.c555.threatmark.com) – hodnotí, jestli účet ovládá člověk
  
• Sken localhost portů (127.0.0.1:7070, 63334) – hledá nástroje vzdálené plochy
  
• Dávka 66 požadavků účet odhlásila
  

Závěr: účet je pod silným antifraudem, automatizace je riziková, nízká frekvence nutná.

2c. Co víme o session

• Cookies z prohlížeče ze serveru nefungují (403, jiná IP než cf_clearance)
  
• Cookies z prohlížeče fungují z domácí IP (Python) – ověřeno
  
• Parametr ipv4 Tipsport ignoruje – URL vždy vystaví na IP, ze které požadavek přišel
  

2d. Poskytovatelé (Tipsport jich má osm)
Rozložení z jednoho vzorku: BETBAZAR (23), SPORTRADAR (17), MANUAL (7), INFRONT (6), PERFORM_WB (4), LIVEBOX (3), SIS (2), IMG (1). Každý má vlastní CDN a vlastní tokeny.
 

• SPORTRADAR – CDN CloudFront – token s ip= přímo v cestě – vázaný na IP: ANO – ze serveru: 403/401 ✗
  
• PERFORM_WB (typ HLS) – CDN Akamai (744133.akamaized.net) – token hdnea 60 s → pak hdntl v cestě ~24 h – vázaný na IP: NE – ze serveru: ✓ (nutné hlavičky Referer/Origin tipsport)
  
• PERFORM_WB (typ URL_IFRAME) – Akamai přes přehrávač Performu – dvoukrokový token: Tipsport /stream-player/perform → csb.js → getToken na Performu → iframe → Akamai – nedokončeno (getToken vrací kód 103 = Invalid Match ID, správná jména parametrů zná jen běžící přehrávač)
  
• GENIUS – Akamai (geniuslive.geniussports.com) – widgetLoader?customerId=6092&fixtureId=X je veřejný, token hdnts 1 h → hdntl ~24 h – vázaný na IP: NE – ze serveru: ✓ (nutné Firefox UA + Origin/Referer Genius přehrávače), ale fixtureId se získá jen přes přihlášený /stream
  
• BETBAZAR, INFRONT, SIS, IMG, MANUAL, LIVEBOX – neověřeno
  

2e. Stream-player vrstva
Z JS přehrávače videotéky (0.cengeis_oon.js) tři endpointy podle poskytovatele:

• GET /rest/offer/v1/stream-player/perform?matchId=X → outletAuthKey, userId, fixtureUuid, livestreamUuid, accessToken, playerUrl (Perform CSB)
  
• GET + POST /rest/offer/v1/stream-player/geniuslive?matchId=X → konfigurace pro Genius
  
• GET /rest/offer/v1/stream-player/flussonic?matchId=X → source a streamWss (stream přes WebSocket)
  

 

---

Souhrn: co jde a co ne

Jde bez rizika: neplacený tv.tipsport.cz (záznamy, sestřihy). Token bez IP vazby, redirect, nulová zátěž serveru.

Teoreticky jde, ale přes přihlášený účet s rizikem: PERFORM_WB typ HLS a GENIUS – oba hratelné ze serveru, ale fixtureId/URL se získá jen přes přihlášený /stream, který funguje jen z domácí IP.

Nejde rozumně:

• SPORTRADAR (17 zápasů, token vázaný na IP, server by musel téct celý stream přes domov)
  
• PERFORM_WB typ URL_IFRAME (dvoukrokový token Performu, nedokončeno)
  
• BETBAZAR a zbytek (neověřeno, každý jiný mechanismus)
  

Hlavní překážky placené části: BankID login (nejde automatizovat), antifraud (ThreatMark, Cloudflare, sken portů, odhlášení po dávce), osm různých poskytovatelů s různými tokeny, riziko blokace sázkového účtu.