Telegram yetkilendirmesi nasıl çalışır

Telegram giriş nedir

Telegram yetkilendirmesi, telegram hesabınızı kullanarak kimliğinizi bir web sitesinde veya uygulamada hızlı bir şekilde doğrulamanın bir yoludur. Sıfırdan kaydolmak yerine, Telegram'ın temel profil verilerini (kimlik, ad, takma ad, avatar) bir kriptografik imza ile siteye aktarmasına izin verirsiniz ve site bir hesap oluşturur/bağlar ve bir oturum başlatır.

Önemli avantajlar:

Hız: 1-2 musluk - şifre ve e-posta onayları olmadan.
Güvenilirlik: veriler Telegram tarafından imzalanmış olarak gelir; Site onları kontrol edebilir.
Birleşme: Aynı telgraf hesabı web, mobil web ve Telegram WebApp içinde çalışır.

Telegram yetkilendirme seçenekleri

1. Telegram Login Widget (web siteleri).

Sayfa resmi düğmeyi görüntüler. Telegram'ı tıkladıktan sonra bir onay penceresi gösterir, ardından siteye sunucunun kontrol ettiği ve bir oturum oluşturduğu bir alan + imza (karma) kümesi döndürür.

2. Bot üzerinden yetkilendirme (giriş URL'si/derin bağlantı).

Kullanıcı botu özel bir bağlantı kullanarak açar (login_url). Bot, Telegram'dan onay alır ve siteye kullanıcı verilerini bir imza ile gönderir.

3. Telegram WebApp (sohbet/bot içinde).

Site "yerleşik tarayıcı" Telegram (WebApp) açılır. İstemci, WebApp'a kullanıcı parametreleri ve bir kripto imzası ile bir initData nesnesi iletir, buna göre arka uç istekleri doğrular.

Her üç senaryo da bir ilke etrafında inşa edilmiştir: site tarayıcıya güvenmez, ancak Telegram imzaları, bir oturum yayınlamadan önce sunucuda kontrol eder.

Kullanıcının gördüğü (adım adım)

1. "Telegram ile Giriş Yap'ı tıklayın (sitede/botta/WebApp'ta).

2. Telegram bir onay penceresi gösterir (veya istemcide önceden onaylanmış bir oturum kullanır).

3. Onay alındıktan sonra, site otomatik olarak telegram_id, adınızı, takma adınızı (varsa), avatarınızı (URL) ve yetkilendirme zaman damganızı alır.

4. Site bir hesap oluşturur veya bağlar ve sizi oturum açar - çoğu zaman bir şifre girmeden.

Sunucuda neler oluyor (kısa ve net)

1. Site, istemciden bir dizi parametre alır (örneğin:'id ',' first _ name ',' username ',' photo _ url ',' auth _ date ',' hash ').

2. Sunucu bir data-check-string oluşturur: 'key = value' çiftlerini 'hash' hariç alfabetik olarak sıralar ve bir satır besleme karakteriyle birleştirir.

3. Sunucu, bu dizedeki HMAC-SHA256 bot belirtecinden türetilen bir sırla hesaplar (sır, bot belirtecinden gelen SHA256).

4. Sonucu gelen 'hash'ile karşılaştırır. Eğer 'auth _ date' "fresh" (genellikle 24 saat ≤ bir geçerlilik penceresi) ile eşleşirse, veriler orijinal olarak kabul edilir.

5. Sunucu 'telegram _ id'ile bir kullanıcı arıyor.

Bulunursa, profili yetkilendirir ve güncelleştirir.

Değilse, yeni bir hesap oluşturur ve giriş yapın.

6. Bir siteye veya uygulama belirtecine oturum belirteci/çerezi verir.

💡 Anlamı: Birisi bir adı veya takma adı değiştirmeye çalışsa bile, imza kırılır ve sunucu girişi reddeder.

Siteye tam olarak ne iletilir

Gerekli:'id '(telegram_id),' auth _ date ',' hash '.

Genellikle: 'first _ name', 'last _ name', 'username', 'photo _ url', bazen arayüz dili.

Yazışmalara, kişilere vb. Erişim yok - bu, geniş izinlerin istendiği OAuth sosyal ağları değildir.

Telegram bir casino hesabına nasıl bağlanır (oyuncu için)

1. Sitedeki/uygulamadaki profile gidin.

2. "Link Telegram "/" Telegram ile giriş yap'ı tıklayın.

3. İsteği Telegram'da onaylayın.

4. Bitti: hesabınız 'telegram _ id'ile iletişime geçti. Şimdi kullanabilirsiniz:

Buton üzerinden hızlı giriş, bottaki işlemler/turnuvalar hakkında bildirimler, WebApp arayüzü (cash desk/leaderboards) sağlandığı takdirde doğrudan Telegram'a.

Güvenlik ve Uyumluluk

İmza doğrulaması - yalnızca sunucu. Müşteri çekleri güvenilmezdir.

Geçerlilik penceresi. 'Auth _ date' seçeneğini işaretleyin (örneğin, 86400 saniye ≤).

Bir sürü cihaz. Kritik eylemler için (çıktı, ayrıntıların değiştirilmesi), giriş Telegram üzerinden olsa bile 2FA/password gerektirir.

CSRF/Replay koruması. Yönlendirmelerde nonce/' state 'kullanın, oturumu cihaza/tarayıcıya bağlayın.

Etki alanı kısıtlaması. Giriş düğmesi ve WebApp yalnızca güvenilir alanlarda çalışmalıdır.

Veri depolama. Minimize: Birincil iletişim anahtarı olarak 'telegram _ id'; Fazladan alanları önbelleğe almayın. Yerel veri yasalarına uyun (GDPR ve eşdeğeri).

Ayrıştırma. Kullanıcıya "Telegram'ı Devre Dışı Bırak" düğmesini verin ve paketi doğru şekilde silin.

Antifraud. Bir giriş ile IP/cihaza giriş yapın, risk puanlaması uygulayın, girişimlere sınırlama getirin.

Sorumlu bir oyun. Uygun bir giriş ile bile, KYC/AML ve hesap limitlerini takip edin.

Telegram WebApp: farklı olan nedir

'InitData' aktarımı ile Telegram içinde başlatın (parametre paketi + imza).

API'nize gelen tüm isteklere initData'lı bir başlık/parametre ile eşlik edin ve sunucudaki imzayı aynı ilkeye göre doğrulayın (bot belirtecinden bir sır ile HMAC-SHA256).

Avantajları: Tarayıcıya geçmeden yerel düğmeler, paylaşım, hızlı komut dosyaları (cüzdan, turnuvalar, görevler).

Kısıtlamalar: Telegram istemcisine (yerleşik WebView), platform politikalarına ve tarayıcı API yeteneklerine bağlıdır.

Tipik kullanım durumları

Hızlı giriş. Telegram üzerinden yeni bir oyuncu girer, site bir hesap oluşturur ve hemen limits/2FA belirlemeyi teklif eder.

Web ve WebApp için tek oturum açma. Kullanıcı sohbete başladı, tarayıcıda devam etti - ilerleme ve cüzdanlar yaygındır.

Bottaki uyarılar. Para yatırma, para çekme durumları, turnuva pin kodları.

Yönlendirme bağlantıları. Derin bağlantı 'başlat' aracılığıyla, ref kodunu iletebilir ve ilk girişte kaynağı bağlayabilirsiniz.

Ortak Sorunlar ve Çözümler

"Geçersiz imza/hash uyumsuzluğu. "Kontrol edin:

İmza satırı alfabetik sırayla toplandı, 'karma' satırdan çıkarıldı, gizli = bot belirtecinden SHA256, belirtecin kendisinden değil, HMAC-SHA256 kullanın, sadece SHA256 değil.
"Süresi dolmuş" auth_date. Pencereyi büyütün (ancak orta derecede) ve olası saat kaymasını düşünün.
"Oturum açma ön taraftan geçiyor ve sunucuya düşüyor. "Doğrulama sunucu tabanlı olacaktır; Cephenin sonucuna güvenmeyin.
Kullanıcı Telegram'a erişimini kaybetti. "Bir alternatif verin: e-posta/şifre + 2FA ile giriş yapın, destek yoluyla bağlanma prosedürü.
"Çift hesaplar. "İlk girişte, kullanıcıyı e-posta/telefonla bulmaya çalışın ve onay ile bir birleşme önerin.

En iyi uygulamalar (oyuncular için)

Geçmişi ve bonusları kaybetmemek için Telegram'ı önceden oluşturulmuş bir hesaba bağlayın.

Hesabınızda 2FA'yı etkin bırakın (telgraf girişi ikinci faktörün yerine geçmez).

Kişisel hesabınızdaki kodları/bağlantıları "yöneticilere" bildirmeyin - herhangi bir işlemi yalnızca sitedeki resmi bot/düğme aracılığıyla yapın.

Telegram'a erişiminizi kaybederseniz, sitedeki girişi geri yükleme prosedürünü önceden öğrenin.

En İyi Uygulamalar (ürün/geliştirme için)

Sunucu tarafı imza doğrulama, zaman penceresi, anti-yeniden oynatma.

Oturum açma sıklığı, denetimler, anomali uyarılarının sınırları.

Telegram'ın şeffaf bağlanması/bağlantısının kesilmesi, istek üzerine verilerin dışa aktarılması/silinmesi.

Ayrıntılı politikalar: "Telegram üzerinden giriş yapılmasına izin verilir, ancak çıktı yalnızca yeniden kimlik doğrulama ile verilir".

Farklı Telegram istemcilerinde ve tarayıcılarında Giriş Widget/WebApp'ı test edin.

SSS

Bu OAuth mu?

UX'e benziyor, ancak teknik olarak daha basit: Telegram imzalı bir veri paketi iletir ve kullanıcı kaynaklarına erişim için belirteçler yayınlamaz.

Telegram uygulaması olmadan giriş yapabilir miyim?

Web'de Login Widget kullanıyorsanız, Telegram sizi istemci/web katmanı aracılığıyla onaylar. Kurulan müşteri süreci hızlandırır.

İletişim/sohbet geçmişi paylaşılıyor mu?

Hayır. Site sadece + 'telegram _ id' profilinin temel alanlarını ve tüm bunları bir imza ile alır.

Güvenli mi?

Doğru sunucu imzası doğrulaması ve zaman aralığı sınırlamasıyla, evet. İsteğe bağlı olarak 2FA ve kritik eylem sınırlarını içerir.

Telegram yetkilendirmesi, Telegram imzalı verilerle giriş yapmanın hızlı ve güvenli bir yoludur. Kullanıcı şifre olmadan anında erişim sağlar, ürün - gereksiz kişisel verileri saklamadan güvenilir tanımlama. Sunucudaki imzayı kesinlikle doğrulamak, zaman penceresini sınırlamak ve telgraf girişini 2FA ve sorumlu güvenlik politikaları ile birleştirmek önemlidir.