Telegram vasitəsilə avtorizasiya necə işləyir

Telegram vasitəsilə giriş nədir

Telegram vasitəsilə avtorizasiya sizin şəxsiyyətinizi tez bir zamanda Telegram hesabınızla saytınızda və ya tətbiqetmədə təsdiqləmək üçün bir yoldur. Siz «sıfırdan» qeydiyyatdan keçmək əvəzinə Telegram-a kriptoqrafik imzalı əsas profil məlumatlarını (ID, ad, nik, avatar) sayta ötürməyə icazə verirsiniz, sayt isə hesabı yaradır/bağlayır və sessiyanı işə salır.

Əsas üstünlüklər:

Sürət: 1-2 tapa - şifrə və e-mail təsdiqi olmadan.
Etibarlılıq: məlumatlar Telegram tərəfindən imzalanır; sayt onları yoxlaya bilər.
Unifikasiya: eyni Telegram hesabı veb, mobil veb və Telegram WebApp daxilində işləyir.

Telegram vasitəsilə avtorizasiya variantları

1. Telegram Login Widget (veb saytlar).

Səhifədə rəsmi düymə göstərilir. Telegram düyməsini basdıqdan sonra təsdiq pəncərəsini göstərir, sonra serverin yoxladığı və sessiyanı yaradan sahələr toplusunu + imzanı (hash) sayta qaytarır.

2. Bot vasitəsilə avtorizasiya (login URL/deep-link).

İstifadəçi botu xüsusi link (login_url) vasitəsilə açır. Bot Telegram-dan təsdiq alır və istifadəçi məlumatlarını imza ilə sayta göndərir.

3. Telegram WebApp (söhbət/bot daxilində).

Sayt Telegram-ın (WebApp) «daxili brauzerində» açılır. Müştəri WebApp-a istifadəçi parametrləri və kriptovalyutası olan initData obyektini ötürür.

💡 Hər üç ssenari bir prinsip ətrafında qurulur: sayt brauzerə deyil, Telegram imzalarına güvənir, seans verilməzdən əvvəl serverdə onu yoxlayır.

İstifadəçi nə görür (addım-addım)

1. «Telegram vasitəsilə daxil ol» (saytda/botda/WebApp-da).

2. Telegram təsdiq pəncərəsini göstərir (və ya müştəridə artıq təsdiqlənmiş seansdan istifadə edir).

3. Razılıq verdikdən sonra sayt avtomatik olaraq sizin telegram_id, adınızı, ləqəbinizi (varsa), avatarınızı (URL) və avtorizasiya vaxtı etiketini alır.

4. Sayt hesabınızı yaradır və ya bağlayır və sizi çox vaxt şifrə daxil etmədən qeydiyyatdan keçirir.

Serverdə nə baş verir (qısa və aydın)

1. Sayt müştəridən parametrlər toplusunu alır (məsələn: 'id', 'first _ name', 'username', 'photo _ url', 'auth _ date', 'hash').

2. Server data-check-string yaradır: 'hash' istisna olmaqla 'key = value' cütlərini əlifba ilə çeşidləyir və sətrin tərcümə simvolu ilə birləşdirir.

3. Server bu sətirdən HMAC-SHA256 bot tokenindən yaranan sirr ilə hesablayır (sirr bot tokenindən SHA256).

4. Nəticəni gələn 'hash' ilə müqayisə edir. «auth _ date» və «təzə» (adətən 24 saat ≤ etibarlılıq pəncərəsi) üst-üstə düşsə, məlumatlar orijinal sayılır.

5. Server 'telegram _ id' vasitəsilə istifadəçi axtarır.

Əgər tapılıbsa, profili təsdiqləyir və yeniləyir.

Yoxsa, yeni bir hesab və loginit yaradır.

6. Session token/cookie saytına və ya proqram tokenini verir.

💡 Məna: kimsə adını və ya ləqəbini dəyişdirməyə çalışsa belə, imza qırılır və server giriş adını rədd edir.

Sayta tam olaraq nə ötürülür

Məcburi: 'id' (telegram_id), 'auth _ date', 'hash'.

Tez-tez: 'first _ name', 'last _ name', 'username', 'photo _ url', bəzən interfeys dili.

Yazışmalar, təmaslar və s. Yoxdur - bu, geniş icazələrin tələb olunduğu sosial şəbəkələrin OAuth deyil.

Telegram casino hesabı ilə necə əlaqələndirmək olar (oyunçu üçün)

1. Saytda/tətbiqdə profilə daxil olun.

2. «Telegram bağla »/« Telegram vasitəsilə daxil ol» düyməsini basın.

3. Telegram-a sorğunu təsdiqləyin.

4. Hazırdır: hesab sizin 'telegram _ id' ilə əlaqə saxlayıb. İndi istifadə edə bilərsiniz:

bir düymə vasitəsilə sürətli giriş, botda əməliyyat/turnir bildirişləri, WebApp interfeysi (kassa/lider panellər) birbaşa Telegram-da.

Təhlükəsizlik və tələblərə uyğunluq

İmza yoxlaması - yalnız serverdə. Müştəri yoxlamaları etibarsızdır.

Etibarlılıq pəncərəsi. 'auth _ date' (məsələn, ≤ 86400 saniyə).

Cihazların birləşməsi. Kritik hərəkətlərdə (çıxış, rekvizitlərin dəyişdirilməsi) giriş Telegram vasitəsilə olsa belə, 2FA/parol tələb edin.

CSRF/Replay qorunması. Redaktorlarda nonce/' state 'istifadə edin, oturumu cihaza/brauzerə bağlayın.

Domenlərin məhdudlaşdırılması. Login düyməsi və WebApp yalnız etibarlı domenlərdə işləməlidir.

Məlumatların saxlanması. Minimuma endirin: 'telegram _ id' əsas əlaqə açarı kimi; əlavə sahələri cached etməyin. Yerli məlumat qanunlarına (GDPR və analoqlar) riayət edin.

Debriyaj. İstifadəçiyə «Telegram-ı söndürün» düyməsini verin və əlaqəni düzgün silmək.

Antifrod. Girişinizdə IP/cihazı qeyd edin, risk skorunu, cəhd limitlərini tətbiq edin.

Məsuliyyətli oyun. Hətta rahat giriş KYC/AML və hesab limitlərinə riayət edin.

Telegram WebApp: nə fərqlidir

Telegram daxilində 'initData' (parametrlər paketi + imza) ötürülməsi ilə başlayın.

API-yə olan bütün sorğuları initData ilə heder/parametrlə müşayiət edin və eyni prinsiplə serverdə imzanı təsdiqləyin (bot tokenindən gizli HMAC-SHA256).

Üstünlüklər: yerli düymələr, paylaşma, sürətli ssenarilər (cüzdan, turnirlər, tapşırıqlar) brauzerə keçmədən.

Məhdudiyyətlər: Telegram müştərisindən (daxili WebView), platforma siyasətindən və brauzer API imkanlarından asılıdır.

Tipik istifadə ssenariləri

Sürətli bağlama. Yeni oyunçu Telegram vasitəsilə daxil olur, sayt hesab yaradır və dərhal/2FA limitləri təyin etməyi təklif edir.

Web və WebApp üçün vahid giriş. İstifadəçi söhbət başladı, brauzerdə davam etdi - tərəqqi və cüzdan ümumi.

Botda xəbərdarlıqlar. Depozitlər, çıxış statusları, turnirlərin pin kodları.

Referans linkləri. Deep-link 'start' vasitəsilə siz ref kodu ötürə və mənbəni ilk girişdə bağlaya bilərsiniz.

Tez-tez problemlər və həllər

«Səhv imza/hash mismatch». Yoxlayın:

İmza üçün sətir əlifba sırası ilə yığılıb, «hash» sətirdən çıxarılıb, sirr = botun tokenindən SHA256, tokenin özü deyil, HMAC-SHA256 istifadə edin, sadəcə SHA256 deyil.
"Vaxtı keçmiş auth_date". Pəncərəni artırın (lakin orta dərəcədə) və mümkün saat sürüklənməsini nəzərə alın.
«Giriş cəbhədə keçir, serverdə isə düşür». Validasiya server olmalıdır; cəbhənin nəticəsinə etibar etməyin.
«İstifadəçi Telegram-a çıxışını itirib». Alternativ verin: e-mail/parol + 2FA-ya giriş, dəstək vasitəsilə əlaqə proseduru.
«Dubli hesablar». İlk girişdə e-poçt/telefon vasitəsilə istifadəçi tapmağa çalışın və təsdiqlə birləşmə təklif edin.

Ən yaxşı təcrübələr (oyunçular üçün)

Tarixi və bonusları itirməmək üçün Telegram-ı artıq yaradılmış hesaba bağlayın.

Hesabda 2FA-nı aktiv buraxın (teleqram girişi - ikinci amilin əvəzlənməsi deyil).

Kodları/linkləri «menecerlərə» bildirməyin - hər hansı bir əməliyyatı yalnız rəsmi bot/veb düyməsi vasitəsilə edin.

Telegram-a giriş itirilərsə, saytdakı girişin bərpası prosedurunu əvvəlcədən bilin.

Ən yaxşı təcrübələr (məhsul/inkişaf üçün)

Server imza təsdiqi, vaxt pəncərəsi, anti-replay.

Telegram-ın şəffaf bağlanması/bağlanması, sorğu əsasında məlumatların ixracı/silinməsi.

Qranulyar siyasətlər: «Telegram vasitəsilə girişə icazə verilir, lakin çıxış - yalnız təkrar autentifikasiya ilə».

FAQ

Bu OAuth?

UX kimi görünür, lakin texniki cəhətdən daha asandır: Telegram istifadəçi resurslarına giriş tokenləri vermək əvəzinə imzalanmış məlumat paketini ötürür.

Telegram tətbiqi olmadan daxil ola bilərəmmi?

Web-də Login Widget istifadə edirsinizsə - Telegram yenə də öz müştərisi/veb təbəqəsi vasitəsilə sizi təsdiqləyir. Quraşdırılmış müştəri prosesi sürətləndirir.

Əlaqə/chat tarixi ötürülür?

Yox. Sayt yalnız + 'telegram _ id' profilinin əsas sahələrini alır və bütün bunlar imzalıdır.

Təhlükəsiz?

Düzgün imza server yoxlaması və vaxt pəncərəsinin məhdudlaşdırılması ilə - bəli. Əlavə olaraq 2FA və kritik fəaliyyət limitlərini daxil edin.

Telegram vasitəsilə avtorizasiya - bu, Telegram tərəfindən imzalanmış məlumatlardan istifadə etməklə daxil olmağın sürətli və təhlükəsiz yoludur. İstifadəçi şifrəsiz ani giriş əldə edir, məhsul lazımsız şəxsi məlumatları saxlamadan etibarlı identifikasiyadır. Yalnız serverdə imzanı ciddi şəkildə təsdiqləmək, vaxt pəncərəsini məhdudlaşdırmaq və teleqram girişini 2FA və məsuliyyətli təhlükəsizlik siyasətləri ilə birləşdirmək vacibdir.