Როგორ მუშაობს ავტორიზაცია Telegram- ის საშუალებით

რა არის შესასვლელი Telegram- ით

Telegram- ის საშუალებით ნებართვა არის გზა, რომ სწრაფად დაადასტუროთ თქვენი ვინაობა საიტზე ან თქვენი ტელეგრაფის ანგარიშის გამოყენებით განაცხადში. „ნულიდან“ რეგისტრაციის ნაცვლად, თქვენ საშუალებას აძლევთ Telegram- ს გადასცეს ძირითადი პროფილის მონაცემები (ID, სახელი, მეტსახელი, ავატარი) კრიპტოგრაფიული ხელმოწერით, ხოლო საიტი ქმნის/აკავშირებს ანგარიშს და იწყებს სხდომას.

ძირითადი უპირატესობები:

სიჩქარე: 1-2 ტაპა - პაროლის გარეშე და ელექტრონული ფოსტის მტკიცებულებების გარეშე.
საიმედოობა: მონაცემები მოდის Telegram- ის მიერ ხელმოწერილი; საიტს შეუძლია შეამოწმოს ისინი.
გაერთიანება: იგივე სატელეგრაფო ანგარიში მუშაობს ვებში, მობილურ ვებში და Telegram WebApp- ის შიგნით.

Telegram- ის საშუალებით ავტორიზაციის ვარიანტები

1. Telegram Login Widget (ვებსაიტები).

გვერდზე ნაჩვენებია ოფიციალური ღილაკი. დაჭერის შემდეგ, Telegram აჩვენებს დადასტურების ფანჯარას, შემდეგ უბრუნდება ველების ნაკრები + ხელმოწერა (hash) საიტზე, რომელსაც სერვერი ამოწმებს და ქმნის სესიას.

2. ნებართვა ბოტის საშუალებით (login URL/deep-link).

მომხმარებელი ხსნის ბოტს სპეციალური ბმულით (login _ url). ბოტი იღებს დადასტურებას Telegram- დან და აგზავნის მომხმარებლის მონაცემებს ხელმოწერით.

3. Telegram WebApp (ჩატი/ბოტის შიგნით).

საიტი იხსნება „ინტეგრირებულ ბრაუზერში“ Telegram (WebApp). კლიენტი WebApp- ს გადასცემს initData ობიექტს მომხმარებლის პარამეტრებით და კრიპტოვალუტით, რომლის თანახმად, ზურგჩანთას უხელმძღვანელებს მოთხოვნები.

💡 სამივე სცენარი აგებულია ერთი პრინციპის გარშემო: საიტი ენდობა არა ბრაუზერს, არამედ Telegram- ის ხელმოწერებს, რომელიც მას სერვერზე ამოწმებს სხდომის გაცემამდე.

რასაც მომხმარებელი ხედავს (ნაბიჯი)

1. დააჭირეთ „შესვლა Telegram- ის საშუალებით“ (ვებგვერდზე/ბოტში/WebApp- ში).

2. Telegram აჩვენებს დადასტურების ფანჯარას (ან იყენებს უკვე დადასტურებულ სხდომას კლიენტში).

3. თანხმობის შემდეგ, საიტი ავტომატურად იღებს თქვენს telegram _ id, სახელს, მეტსახელს (თუ არსებობს), ავატარს (URL) და ავტორიზაციის დროის ნიშანს.

4. საიტი ქმნის ან აკავშირებს ანგარიშს და მოგცემთ - ყველაზე ხშირად პაროლის შეყვანის გარეშე.

რა ხდება სერვერზე (მოკლედ და გასაგებად)

1. საიტი იღებს კლიენტისგან პარამეტრების ერთობლიობას (მაგალითად: 'id', 'first _ name', 'username', 'photo _ urn', 'auth _ date', 'hash').

2. სერვერი ქმნის მონაცემთა შემოწმების ნაკადს: ასწორებს წყვილებს 'key = value' ანბანის მიხედვით, გამორიცხავს 'hash' და აკავშირებს ხაზის თარგმანის სიმბოლოს.

3. სერვერი ითვლის ამ სტრიქონიდან HMAC-SHA256- ს ბოტის ტოქსინიდან მიღებული საიდუმლოებით (საიდუმლო არის SHA256 ბოტის ნიშნიდან).

4. შედეგს ადარებს „hash“. თუ დაემთხვა „auth _ date“ „ახალს“ (ჩვეულებრივ, შესაბამისობის ფანჯარა 24 საათის განმავლობაში), მონაცემები ნამდვილად ითვლება.

5. სერვერი ეძებს მომხმარებელს 'telegram _ id' მიხედვით.

თუ მე აღმოვაჩინე, ის ავტორიზაციას და პროფილის განახლებას ახდენს.

თუ არა, ის ქმნის ახალ ანგარიშს და ლოგინიტს.

6. აძლევს სესიის ნიშანს/ქუქი-ფაილებს საიტს ან პროგრამის ნიშანს.

💡 მნიშვნელობა: მაშინაც კი, თუ ვინმე ცდილობს შეცვალოს სახელი ან მეტსახელი, ხელმოწერა იშლება და სერვერი უარყოფს ლოგინს.

კონკრეტულად რა ხდება საიტზე

სავალდებულო: 'id' (telegram _ id), 'auth _ date', 'hash'.

ხშირად: 'first _ name', 'last _ name', 'username', 'photo _ urn', ზოგჯერ ინტერფეისის ენა.

არ არის წვდომა მიმოწერაზე, კონტაქტებზე და ა.შ. - ეს არ არის სოციალური ქსელების OAuth, სადაც საჭიროა ფართო ნებართვები.

როგორ დავუკავშიროთ Telegram კაზინოს ანგარიშს (მოთამაშისთვის)

1. გაიარეთ პროფილი საიტზე/განაცხადში.

2. დააჭირეთ „Telegram დაკავშირება “/„ შესვლა Telegram- ის საშუალებით“.

3. დაადასტურეთ მოთხოვნა Telegram- ზე.

4. მე მზად ვარ: ანგარიში დაუკავშირდა თქვენს 'telegram _ id' - ს. ახლა შეგიძლიათ გამოიყენოთ:

თუ გათვალისწინებულია, ღილაკის სწრაფი შეყვანა, გარიგების/ბოტის ტურნირების შეტყობინებები, WebApp ინტერფეისი (სალარო) პირდაპირ Telegram- ში.

უსაფრთხოება და მოთხოვნების დაცვა

ხელმოწერის შემოწმება - მხოლოდ სერვერზე. კლიენტის შემოწმებები არასაიმედოა.

ხელშეუხებლობის ფანჯარა. შეამოწმეთ 'auth _ date' (მაგალითად, 86400 წამი).

მოწყობილობების პაკეტი. კრიტიკულ ქმედებებში (დასკვნა, დეტალების შეცვლა) მოითხოვეთ 2FA/პაროლი, თუნდაც შეყვანა Telegram- ის საშუალებით.

CSRF/Replay დაცვა. გამოიყენეთ nonce/' state 'რედაქციებში, დაურთეთ სესია მოწყობილობას/ბრაუზერს.

დომენის შეზღუდვა. ლოგინის ღილაკი და WebApp უნდა მუშაობდნენ მხოლოდ სანდო დომენებზე.

მონაცემთა შენახვა. მინიმუმამდე დაიყვანეთ: 'telegram _ id', როგორც პირველადი საკომუნიკაციო გასაღები; ნუ აიღებთ ზედმეტი მინდვრებს. დაიცავით ადგილობრივი მონაცემთა კანონები (GDPR და ანალოგები).

ნაგავი. მიეცით მომხმარებელს ღილაკი „გამორთეთ Telegram“ და ამოიღეთ ბმული სწორად.

ანტიფროდი. გაითვალისწინეთ IP/მოწყობილობა ლოგინის ქვეშ, გამოიყენეთ რისკის სკანირება, მცდელობების შეზღუდვები.

პასუხისმგებელი თამაში. მოსახერხებელი შეყვანის დროსაც კი დააკვირდით KYC/AML და ანგარიშის შეზღუდვებს.

Telegram WebApp: რა განსხვავებაა

Telegram- ის შიგნით გაშვება 'initData' გადაცემით (პარამეტრების პაკეტი + ხელმოწერა).

თქვენს API- ს ყველა თხოვნას თან ახლეთ heder/პარამეტრი initData- სგან და გააკეთეთ ხელმოწერა სერვერზე იმავე პრინციპის შესაბამისად (HMAC-SHA256, რომელიც საიდუმლოა ბოტის ტოქსინისგან).

უპირატესობები: მშობლიური ღილაკები, შარინგი, სწრაფი სცენარები (საფულე, ტურნირები, დავალებები) ბრაუზერში გადასვლის გარეშე.

შეზღუდვები: დამოკიდებულია Telegram კლიენტზე (ჩაშენებული WebView), პლატფორმის პოლიტიკოსი და ბრაუზერის API შესაძლებლობები.

გამოყენების ტიპიური სკრიპტები

სწრაფი ონბორდი. ახალი მოთამაშე შემოდის Telegram- ით, საიტი ქმნის ანგარიშს და დაუყოვნებლივ გვთავაზობს ლიმიტების/2FA დაყენებას.

ვებისა და WebApp- ის ერთი შესასვლელი. მომხმარებელმა ჩატი დაიწყო, ბრაუზერში განაგრძო - პროგრესი და საფულეები საერთოა.

განგაში ბოტში. ანაბრები, გამომავალი სტატუსები, ტურნირების პინ-კოდები.

რეფერული ბმულები. deep-link 'start- ის საშუალებით შეგიძლიათ გადმოგცეთ ref კოდი და დააკავშიროთ წყარო პირველ ლოგინში.

ხშირი პრობლემები და გადაწყვეტილებები

„არასწორი ხელმოწერა/hash mismatch“. შეამოწმეთ:

ხელმოწერის სტრიქონი შეგროვდა ანბანური თანმიმდევრობით, გამოირიცხა 'hash' სტრიქონიდან, საიდუმლო = SHA256 ბოტის ნიშნიდან და არა თავად ნიშანი, გამოიყენეთ HMAC-SHA256 და არა მხოლოდ SHA256.
„ვადაგასული auth _ date“. გაზარდეთ ფანჯარა (მაგრამ ზომიერად) და გაითვალისწინეთ საათების შესაძლო დრიფტი.
„ლოგინი გადის ფრონტზე, ხოლო სერვერზე ეცემა“. ვალიდაცია უნდა იყოს სერვერი; ნუ ენდობით წინა შედეგს.
„მომხმარებელმა დაკარგა წვდომა Telegram- ზე“. მიეცით ალტერნატივა: ელექტრონული ფოსტის/პაროლის შესვლა + 2FA, მხარდაჭერის საშუალებით გადახტომის პროცედურა.
„ანგარიშების დუბლები“. პირველ ლოგინში შეეცადეთ იპოვოთ მომხმარებელი ელექტრონული ფოსტით/ტელეფონით და შესთავაზოთ შერწყმა დადასტურებით.

საუკეთესო პრაქტიკა (მოთამაშეებისთვის)

მიიპყრო Telegram უკვე შექმნილ ანგარიშზე, რათა არ დაკარგოს ისტორია და პრემია.

დატოვეთ 2FA შედის ანგარიშში (ტელეგრამა შესასვლელი არ არის მეორე ფაქტორის შეცვლა).

ნუ შეატყობინებთ კოდებს/ბმულებს „მენეჯერებს“ თქვენს სახეში - ნებისმიერი ოპერაცია გააკეთეთ მხოლოდ ოფიციალური ბოტის/ღილაკის საშუალებით საიტზე.

Telegram- ზე წვდომის დაკარგვისას წინასწარ იცოდეთ საიტზე შესვლის აღდგენის პროცედურა.

საუკეთესო პრაქტიკა (პროდუქტისთვის/განვითარებისათვის)

ხელმოწერის სერვერის შესაბამისობა, დროის ფანჯარა, ანტი-replay.

ლოგინების სიხშირის ლიმიტები, აუდიტი, ალერტები ანომალიებზე.

Telegram- ის გამჭვირვალე კავშირი/ნაგავი, მონაცემთა ექსპორტი/წაშლა მოთხოვნით.

მარცვლოვანი პოლიტიკოსები: „Telegram- ზე შესვლა ნებადართულია, მაგრამ დასკვნა მხოლოდ ხელახალი ავთენტიფიკაციით არის შესაძლებელი“.

შეამოწმეთ Login Widget/WebApp სხვადასხვა Telegram კლიენტებში და ბრაუზერებში.

FAQ

ეს არის OAuth?

როგორც ჩანს UX, მაგრამ ტექნიკურად უფრო ადვილია: Telegram გადასცემს ხელმოწერილ მონაცემთა პაკეტს და არ იძლევა ნიშანს მომხმარებლის რესურსებზე წვდომისთვის.

შეგიძლიათ ჩართოთ Telegram განაცხადის გარეშე?

თუ Login Widget- ს იყენებთ ვებ - გვერდზე, Telegram მაინც დაადასტურებს თქვენ თქვენი კლიენტის/ვებ - ფენის საშუალებით. დადგენილი კლიენტი აჩქარებს პროცესს.

გადადის კონტაქტები/ჩატის ისტორია?

არა. საიტი იღებს მხოლოდ ძირითადი პროფილის ველს + 'telegram _ id' და ეს ყველაფერი ხელმოწერით.

უსაფრთხოა?

ხელმოწერის სწორი სერვერის შემოწმებით და დროის ფანჯრის შეზღუდვით - დიახ. გარდა ამისა, ჩართეთ 2FA და კრიტიკული ქმედებების შეზღუდვები.

Telegram- ის საშუალებით ნებართვა სწრაფი და უსაფრთხო გზაა Telegram- ის მიერ ხელმოწერილი მონაცემების გამო. მომხმარებელი იღებს მყისიერ წვდომას პაროლის გარეშე, პროდუქტი არის საიმედო იდენტიფიკაცია ზედმეტი პერსონალური მონაცემების შენახვის გარეშე. მნიშვნელოვანია მხოლოდ მკაცრად აკონტროლოთ ხელმოწერა სერვერზე, შეზღუდოთ დროის ფანჯარა და დააკავშიროთ ტელეგრამა შესასვლელი 2FA- სთან და საპასუხისმგებლო უსაფრთხოების პოლიტიკოსებთან.