Πώς λειτουργεί η άδεια για το τηλεγράφημα

Τι είναι το Telegram login

Η άδεια τηλεγραφήματος είναι ένας τρόπος για να επιβεβαιώσετε γρήγορα την ταυτότητά σας σε μια ιστοσελίδα ή εφαρμογή χρησιμοποιώντας το λογαριασμό τηλεγραφήματος σας. Αντί για εγγραφή από το μηδέν, επιτρέπετε στο Telegram να μεταφέρει βασικά δεδομένα προφίλ (ID, όνομα, ψευδώνυμο, avatar) με μια κρυπτογραφική υπογραφή στο χώρο, και ο ιστότοπος δημιουργεί/δεσμεύει ένα λογαριασμό και ξεκινά μια συνεδρία.

Βασικά πλεονεκτήματα:

Ταχύτητα: 1-2 βρύσες - χωρίς κωδικό πρόσβασης και επιβεβαίωση ηλεκτρονικού ταχυδρομείου.
Αξιοπιστία: τα δεδομένα υπογράφονται από την Telegram. ο ιστότοπος μπορεί να τα ελέγξει.
Ενοποίηση: ο ίδιος λογαριασμός τηλεγραφήματος λειτουργεί στο διαδίκτυο, στο κινητό διαδίκτυο και στο εσωτερικό του Telegram WebApp.

Επιλογές αδειοδότησης τηλεγραφήματος

1. Telegram Login Widget (δικτυακοί τόποι).

Η σελίδα εμφανίζει το επίσημο κουμπί. Αφού κάνει κλικ στο Telegram, δείχνει ένα παράθυρο επιβεβαίωσης, στη συνέχεια επιστρέφει στο site ένα σύνολο πεδίων + υπογραφή (hash), το οποίο ο εξυπηρετητής ελέγχει και δημιουργεί μια συνεδρία.

2. Άδεια μέσω bot (login URL/βαθύς σύνδεσμος).

Ο χρήστης ανοίγει το ρομπότ χρησιμοποιώντας ειδικό σύνδεσμο (login_url). Το ρομπότ λαμβάνει επιβεβαίωση από την Telegram και στέλνει τα δεδομένα του χρήστη της ιστοσελίδας με υπογραφή.

3. Telegram WebApp (μέσα στην συνομιλία/bot).

Η ιστοσελίδα ανοίγει στο «ενσωματωμένο πρόγραμμα περιήγησης» Telegram (WebApp). Ο πελάτης μεταδίδει ένα αντικείμενο initData στο WebApp με παραμέτρους χρήστη και μια κρυπτογραφική υπογραφή, σύμφωνα με την οποία το backend επικυρώνει τα αιτήματα.

💡 Και τα τρία σενάρια βασίζονται σε μία αρχή: ο ιστότοπος δεν εμπιστεύεται τον φυλλομετρητή, αλλά τις υπογραφές του τηλεγραφήματος, ελέγχοντάς το στον διακομιστή πριν από την έκδοση συνεδρίας.

Τι βλέπει ο χρήστης (βήμα προς βήμα)

1. Κλικ «Log in via Telegram» (στο site/in the bot/in WebApp).

2. Το τηλεγράφημα δείχνει ένα παράθυρο επιβεβαίωσης (ή χρησιμοποιεί μια ήδη επιβεβαιωμένη συνεδρία στον πελάτη).

3. Μετά τη συγκατάθεση, ο ιστότοπος λαμβάνει αυτόματα το telegram_id, το όνομα, το ψευδώνυμο (αν υπάρχει), το άβαταρ (URL) και τη χρονοσφραγίδα εξουσιοδότησης.

4. Ο ιστότοπος δημιουργεί ή συνδέει έναν λογαριασμό και σας καταγράφει - πιο συχνά χωρίς να εισάγει κωδικό πρόσβασης.

Τι συμβαίνει στον εξυπηρετητή (σύντομη και σαφής)

1. Η ιστοσελίδα λαμβάνει ένα σύνολο παραμέτρων από τον πελάτη (για παράδειγμα: 'id', 'first _ name', 'username', 'photo _ url', 'auth _ date', 'hash').

2. Ο εξυπηρετητής δημιουργεί μια συμβολοσειρά δεδομένων: ταξινομεί αλφαβητικά τα ζεύγη 'κλειδιού = τιμής', εξαιρουμένου του 'hash', και ενώνεται με έναν χαρακτήρα γραμμής τροφοδοσίας.

3. Ο εξυπηρετητής υπολογίζει το HMAC-SHA256 από αυτή τη συμβολοσειρά με ένα μυστικό που προέρχεται από το bot moken (το μυστικό είναι το SHA256 από το bot moken).

4. Συγκρίνει το αποτέλεσμα με το εισερχόμενο «χασίς». Εάν "auth _ date 'matches" fresh "(συνήθως παράθυρο ισχύος ≤ 24 ωρών), τα δεδομένα θεωρούνται γνήσια.

5. Ο διακομιστής αναζητά έναν χρήστη με το 'telegram _ id'.

Αν βρεθεί, εγκρίνει και ενημερώνει το προφίλ.

Αν όχι, δημιουργεί νέο λογαριασμό και σύνδεση.

6. Δίνει μια μάρκα συνεδρίας/cookie σε μια ιστοσελίδα ή μια μάρκα εφαρμογής.

💡 Νόημα: ακόμα και αν κάποιος προσπαθήσει να αλλάξει όνομα ή ψευδώνυμο, η υπογραφή θα σπάσει και ο διακομιστής θα απορρίψει τη σύνδεση.

Τι ακριβώς διαβιβάζεται στον ιστότοπο

Απαιτείται: 'id' (telegram_id), 'auth _ date', 'hash'.

Συχνά: 'first _ name', 'last _ name', 'username', 'photo _ url', μερικές φορές η γλώσσα διεπαφής.

Δεν υπάρχει πρόσβαση σε αλληλογραφία, επαφές κ.λπ. - αυτό δεν είναι κοινωνικά δίκτυα OAuth, όπου ζητούνται ευρείες άδειες.

Πώς να συνδέσετε το Telegram με λογαριασμό καζίνο (για τον παίκτη)

1. Μετάβαση στο προφίλ στο χώρο/στην εφαρμογή.

2. Κάντε κλικ στο «Link Telegram «/» Log in via Telegram ».

3. Επιβεβαιώστε το αίτημα στην Telegram.

4. Έγινε: ο λογαριασμός σας επικοινώνησε με το «telegram _ id». Τώρα μπορείτε να χρησιμοποιήσετε:

γρήγορη σύνδεση μέσω του κουμπιού, ειδοποιήσεις σχετικά με συναλλαγές/τουρνουά στο bot, διεπαφή WebApp (ταμειακή βάση/leaderboards) απευθείας στο Telegram, εάν παρέχεται.

Ασφάλεια και συμμόρφωση

Επαλήθευση υπογραφής - μόνο εξυπηρετητής. Οι έλεγχοι των πελατών είναι αναξιόπιστοι.

Παράθυρο ισχύος. Check 'auth _ date' (για παράδειγμα, ≤ 86400 δευτερόλεπτα).

Ένα μάτσο συσκευές. Για κρίσιμες δράσεις (εκροή, αλλαγή των λεπτομερειών), απαιτείται 2FA/password, ακόμη και αν η σύνδεση ήταν μέσω της Telegram.

Προστασία CSRF/Replay. Χρήση μη ce/' state 'σε ανακατευθύνσεις, σύνδεση της συνεδρίας με τη συσκευή/περιηγητή.

Περιορισμός τομέα. Το κουμπί σύνδεσης και το WebApp θα πρέπει να λειτουργούν μόνο σε αξιόπιστους τομείς.

Αποθήκευση δεδομένων. Ελαχιστοποίηση: 'telegram _ id' ως κύριο κλειδί επικοινωνίας. δεν κρύπτουν επιπλέον πεδία. Συμμόρφωση με τη νομοθεσία περί τοπικών δεδομένων (GDPR και ισοδύναμο).

Αποσύνδεση. Δώστε στο χρήστη το κουμπί «Απενεργοποίηση τηλεγραφήματος» και διαγράψτε σωστά το πακέτο.

Καταπολέμηση της απάτης. Συνδεθείτε στην IP/συσκευή με σύνδεση, εφαρμόστε βαθμολόγηση κινδύνου, όρια στις προσπάθειες.

Υπεύθυνο παιχνίδι. Ακόμη και με μια βολική σύνδεση, ακολουθήστε KYC/AML και όρια λογαριασμού.

Τηλεγράφημα WebApp: τι είναι διαφορετικό

Εκτόξευση στο εσωτερικό του τηλεγραφήματος με τη μεταφορά 'initData' (πακέτο παραμέτρων + υπογραφή).

Συμπληρώστε όλα τα αιτήματα στο API σας με μια κεφαλίδα/παράμετρο με initData και επικυρώστε την υπογραφή στον εξυπηρετητή σύμφωνα με την ίδια αρχή (HMAC-SHA256 με ένα μυστικό από το σήμα bot).

Πλεονεκτήματα: τοπικά κουμπιά, κοινή χρήση, γρήγορα σενάρια (πορτοφόλι, τουρνουά, εργασίες) χωρίς αλλαγή στο πρόγραμμα περιήγησης.

Περιορισμοί: εξαρτάται από τον πελάτη του Telegram (ενσωματωμένο WebView), τις πολιτικές πλατφόρμας και τις δυνατότητες του προγράμματος περιήγησης API.

Τυπικές περιπτώσεις χρήσης

Γρήγορη επιβίβαση. Ένας νέος παίκτης εισέρχεται μέσω του Telegram, ο ιστότοπος δημιουργεί ένα λογαριασμό και προσφέρει αμέσως τον ορισμό limits/2FA.

Ενιαία εγγραφή για Web και WebApp. Ο χρήστης ξεκίνησε την συνομιλία, συνεχίζοντας στο πρόγραμμα περιήγησης - η πρόοδος και τα πορτοφόλια είναι κοινά.

Ειδοποιήσεις στο ρομπότ. Καταθέσεις, καταστάσεις απόσυρσης, κωδικοί ακίδων τουρνουά.

Σύνδεσμοι παραπομπής. Μέσω βαθιάς σύνδεσης 'start', μπορείτε να περάσετε τον κωδικό ref και να δεσμεύσετε την πηγή στην πρώτη σύνδεση.

Κοινά θέματα και λύσεις

"Μη έγκυρη υπογραφή/αναντιστοιχία hash. "Ελέγξτε:

η γραμμή για την υπογραφή συλλέχθηκε με αλφαβητική σειρά, το 'hash' αποκλείστηκε από τη γραμμή, το μυστικό = SHA256 από τη μάρκα bot, και όχι το ίδιο το σύμβολο, χρησιμοποιήστε HMAC-SHA256, όχι μόνο SHA256.
«Λήγει» auth_date. Διευρύνετε το παράθυρο (αλλά μέτρια) και εξετάστε πιθανή μετατόπιση ρολογιού.
"Η σύνδεση περνά στο μπροστινό μέρος και πέφτει στον εξυπηρετητή. "Η επικύρωση βασίζεται σε εξυπηρετητή· μην εμπιστεύεστε το αποτέλεσμα του μετώπου.
"Ο χρήστης έχασε την πρόσβαση στο Telegram. "Δώστε μια εναλλακτική λύση: σύνδεση με ηλεκτρονικό ταχυδρομείο/κωδικό πρόσβασης + 2FA, διαδικασία αποσύνδεσης μέσω υποστήριξης.
"Διπλοί λογαριασμοί. "Στην πρώτη σύνδεση, προσπαθήστε να βρείτε το χρήστη μέσω ηλεκτρονικού ταχυδρομείου/τηλεφώνου και προτείνετε συγχώνευση με επιβεβαίωση.

Βέλτιστες πρακτικές (για τους συντελεστές)

Συνδέστε το τηλεγράφημα με έναν ήδη δημιουργημένο λογαριασμό για να μην χάσετε το ιστορικό και τα μπόνους.

Αφήστε το 2FA ενεργοποιημένο στο λογαριασμό σας (η είσοδος τηλεγραφήματος δεν είναι αντικατάσταση του δεύτερου παράγοντα).

Μην αναφέρετε κωδικούς/συνδέσμους σε «διαχειριστές» στον προσωπικό σας λογαριασμό - κάνετε οποιαδήποτε λειτουργία μόνο μέσω του επίσημου bot/κουμπιού στην ιστοσελίδα.

Αν χάσετε την πρόσβαση στο Telegram, να γνωρίζετε εκ των προτέρων τη διαδικασία για την αποκατάσταση της σύνδεσης στην ιστοσελίδα.

Βέλτιστες πρακτικές (για το προϊόν/ανάπτυξη)

Επικύρωση υπογραφής από την πλευρά του εξυπηρετητή, χρονικό παράθυρο, αντι-αναπαραγωγή.

Όρια στη συχνότητα των συνδέσμων, των ελέγχων, των καταχωρίσεων ανωμαλίας.

Διαφανής δέσμευση/απελευθέρωση του τηλεγραφήματος, εξαγωγή/διαγραφή δεδομένων κατόπιν αιτήματος.

Κοκκώδεις πολιτικές: «επιτρέπεται η σύνδεση μέσω του Telegram, αλλά η έξοδος είναι μόνο με επαναπροσδιορισμό της ταυτότητας».

Test Login Widget/WebApp σε διαφορετικούς πελάτες και φυλλομετρητές τηλεγραφημάτων.

ΣΥΧΝΈΣ ΕΡΩΤΉΣΕΙΣ

Είναι αυτό OAuth

Μοιάζει με UX, αλλά τεχνικά απλούστερο: Το Telegram μεταδίδει ένα υπογεγραμμένο πακέτο δεδομένων και δεν εκδίδει μάρκες για πρόσβαση στους πόρους των χρηστών.

Μπορώ να συνδεθώ χωρίς εφαρμογή τηλεγραφήματος

Αν χρησιμοποιήσετε το Login Widget στο διαδίκτυο, το Telegram θα σας επιβεβαιώσει μέσω του στρώματος πελάτη/ιστού. Ο εγκατεστημένος πελάτης επιταχύνει τη διαδικασία.

Κοινοποιείται το ιστορικό επαφής/συνομιλίας

Όχι, δεν είναι. Η ιστοσελίδα λαμβάνει μόνο τα βασικά πεδία του προφίλ + 'telegram _ id', και όλα αυτά με μια υπογραφή.

Είναι ασφαλές

Με κατάλληλη επαλήθευση υπογραφής διακομιστή και περιορισμό χρονικού παραθύρου, ναι. Προαιρετικά περιλαμβάνονται όρια δράσης 2FA και κρίσιμης σημασίας.

Η άδεια τηλεγραφήματος είναι ένας γρήγορος και ασφαλής τρόπος σύνδεσης με υπογεγραμμένα δεδομένα της Telegram. Ο χρήστης έχει άμεση πρόσβαση χωρίς κωδικό πρόσβασης, το προϊόν - αξιόπιστη ταυτοποίηση χωρίς την αποθήκευση περιττών προσωπικών δεδομένων. Είναι σημαντικό μόνο να επικυρωθεί αυστηρά η υπογραφή στον εξυπηρετητή, να περιοριστεί το χρονικό παράθυρο και να συνδυαστεί η σύνδεση τηλεγραφήματος με 2FA και υπεύθυνες πολιτικές ασφάλειας.