Yetkilendirme için Web3 cüzdan nasıl kullanılır

Bir Web3 cüzdanı aracılığıyla yetkilendirme, bir şifre olmadan hizmete giriş yapmaktır; burada, adresin sahipliğini bir şifreleme imzasıyla onaylarsınız. Site özel olarak hazırlanmış bir mesajın imzasını ister, cüzdan size metni ve etki alanını gösterir, imzalarsınız - ve bir oturum alırsınız. Şifreler, onay e-postası ve SMS gerekli değildir ve doğru şekilde uygulandığında kimlik avı riskleri azalır. Aşağıda nasıl çalıştığı ve güvenli bir şekilde nasıl kullanılacağı bulunmaktadır.

1) Neden şifre yerine cüzdanla giriş yapmalısınız?

Şifre ya da sızıntı yok. Erişim anahtarınıza bağlıdır, servisin şifre veritabanına değil.

Tek bir "dijital kartvizit. "Birden fazla uygulama için tek adres/ad (ENS/UNS/NFD, vb.).

Çok zincirli ve tolere edilebilirlik. Cüzdanınızın bulunduğu herhangi bir cihazdan giriş yapın (veya donanımda tohum).

Mahremiyet. Hangi verilerin ifşa edileceğini siz seçersiniz; varsayılan olarak - yalnızca adres/imza (hizmet daha fazlasını istemiyorsa).

2) Kaput altında nasıl çalışır (kısa)

1. Cüzdan bağlantısı. Bir tarayıcı uzantısı (MetaMask/Rabby, vb.) veya WalletConnect (QR kodu) aracılığıyla.

2. İmza İsteği (SIWE/EIP-4361). Site, insan tarafından okunabilir bir mesaj oluşturur: etki alanı, adresiniz, hedef (giriş), nonce, son kullanma tarihi ve zaman damgası.

3. Cüzdanda imza. Metni ve etki alanını görüyorsunuz; Onaylayın - cüzdan imzayı döndürür.

4. Doğrulama ve oturum. Site, açık anahtarınızdaki imzayı kontrol eder ve bir oturum belirteci (genellikle bir JWT/HTTP çerezi) yayınlar.

5. Yeniden giriş. Oturum geçerliyken imza gerekmez. Son teslim tarihinden sonra - yeni bir istek.

💡 Önemli: Bu mesajın bir imzasıdır, para transferi değildir. Network ücreti yoktur.

3) Adım adım: Web3 bir cüzdanla nasıl oturum açılır

1. Sitede, Bağlan cüzdanı/Oturum aç'a tıklayın.

2. Extension veya WalletConnect (QR) seçeneğini belirleyin.

3. Etki alanını ve istenen ağı kontrol edin (belirtilmişse).

4. Bağlantıyı onaylayın; Sign Message/Sign-In penceresinin görünmesini bekleyin.

5. Mesajı dikkatlice okuyun: etki alanı, adres, nonce, son kullanma tarihi.

6. İmzala'yı tıklatın. Arayüzün bir hesaba/profile değiştiğini göreceksiniz.

4) Sık yetkilendirme seçenekleri

SIWE (Ethereum ile Oturum Açma) EVM ağları için fiili standart; Diğer ağlar için analoglar vardır (Solana Sign-In, TON prova, vb.).

Passkeys + cüzdan (hibrit). Bazı cüzdanlar cüzdanın kendisine şifre ile girmeyi destekler; Dahası - her zamanki gibi imza.

Hesap Soyutlama (EIP-4337) ve oturum anahtarları. Uygulama, imzaları olan spam içermeyen etkinlikler için sınırlı bir "oturum anahtarı" verebilir.

5) Hizmetin imzaladıktan sonra sizi nasıl "tanıdığı"

Site, bir ömür boyu (örneğin, 1-24 saat) bir oturum belirteci yayınlar ve bunu nonce ve adrese bağlar.

API'yi her istediğinizde, belirteç yetkilendirmenizi onaylar.

Unlogged - bir belirteci silme (Çıkış düğmesi), zorlama - cüzdanın sona ermesinden/değiştirilmesinden sonra.

6) Güvenlik: imzalamadan önce kontrol edilmesi gerekenler

Etki alanı. Cüzdandaki etki alanı sekme etki alanıyla eşleşiyor mu? (Homograflar ve alt etki alanı klonları kırmızı bayraktır.)

Mesaj metni. Bir hedef (giriş), nonce, chainId (uygunsa), son kullanma tarihi ve etki alanı olmalıdır. Gizli 'approve/permit' yok.

İmza türü. Bu bir Mesaj/Kişisel İşarettir, İşlem değildir. Bir gaz/komisyon talebi görürseniz - bu bir yetkilendirme değildir.

WalletConnect. İstekteki DApp adı açık bir siteyle eşleşir; QR - resmi sayfadan.

Donanım cüzdanı. Önemli hesaplar için, cihaz ekranındaki imzayı onaylayın.

7) Kullanıcı için en iyi uygulamalar

Bölünmüş cüzdanlar. "Genel giriş/oyun" vs "depolama için soğuk".

Minimum uzantılar ve Web3 için ayrı bir tarayıcı profili.

Yer imleri. Hizmetlere yalnızca yer imlerinizden gidin, arama/sohbetlerden değil.

Düzenli razlogin. Paylaşılan/çalışan cihazlarda oturumları kapatın.

Revok haklı. Yetkilendirme, belirteç hakları vermez, ancak DApp ile etkileşime girdikten sonra, gereksiz onaylama/izni kontrol edin ve iptal edin.

Kayıtlar. Kritik ise tarih/etki alanı/giriş adresini saklayın (kurumsal durumlar).

8) Geliştirici/Operatör Uygulamaları

Sıkı SIWE formatı. Etki alanı, nonce, terim, chainId; Arka uçtaki doğrulama.

Kısa oturumlar + yenileme. Jeton çalmak için daha az şans. Çerez - HttpOnly, Secure, SameSite.

User-Agent/IP'ye bağlanma (uygun olduğunda) ve tüm oturumları geri çağırma yeteneği.

Çoklu zincir desteği. SIWx (EVM), Solana Oturum Açma, TON geçirmez; Etkin ağı göster.

Anti-phishing. Bir modalda büyük bir etki alanı gösterin, profilinize kendi kimlik avı karşıtı ifadenizi ekleyin.

İsteğe bağlı AA/Oturum anahtarları. Limit izinleri: zaman, yöntemler, sınırlar.

9) Tipik hatalar ve bunlardan nasıl kaçınılacağı

Okumadan'bir şey "imzaladı. Çözüm: İşlem değil Mesaj olduğunu kontrol edin; Domain ve hedef okuyun.

WalletConnect sahte bir uygulamaya. Çözüm: modalda adı/etki alanını kontrol edin; QR'yi yalnızca resmi sayfada tarayın.

Başkasının PC'sinde sonsuz oturumlar. Çözüm: manuel olarak çıkın; Özel pencereler/profiller kullanın.

Çanta karıştırma. Çözüm: ayrı "giriş/oyun've" soğuk ".

"Bonus doğrulama/airdrop" yoluyla kimlik avı. Çözüm: yetkilendirme 'onayla/devret'ile ilgili değildir. Gaz tipinde - iptal.

10) Kullanıcı kontrol listesi (30-60 saniye)

Bir yer iminden bir site açtı, etki alanı tarayıcıda ve cüzdan penceresinde aynıdır.
Modalda - Bağlan, sonra İmzala mesajı, "Gönder/Onayla'değil.
Metin nonce, etki alanı, giriş, son kullanma tarihi içerir.
Önemli hesaplar için bir donanım cüzdanı kullanıyorum.
Çalıştıktan sonra - Çıkış yapın, gereksiz sekmeleri/DApp bağlantılarını kapatın.

11) Mini-SSS

Cüzdan yetkisi ücretsiz mi? Evet, bu gazsız mesajın imzası.

Site girişte belirteçleri yazabilir mi? Mesajı imzalarsan olmaz. Silme işlemi gerektirir/onaylar.

Cüzdanımı kaybedersem ne olur? Oturumların süresi dolacak, ancak sitelerdeki hesaplara erişim yeni bir anahtar olmadan geri dönmeyecek. Bir tohum rezervi yapın ve "soğuk" kullanın.

Telefonumdan giriş yapabilir miyim? Evet: WalletConnect (QR/deep link) veya mobil uzantı/yerleşik cüzdan tarayıcısı.

Bu KYC'nin yerini alıyor mu? Hayır. Yetkilendirme adresin sahipliğini onaylar, KYC - müşteri yasası.

Bir Web3 cüzdanından giriş yapmak, şifreler olmadan giriş yapmanın kolay ve güvenli bir yoludur: Okunabilir bir mesaj (SIWE) imzalarsınız, hizmet imzayı kontrol eder ve bir oturum düzenler. Önemli olan disiplindir: yer imleriniz, etki alanını ve imza metnini kontrol etme, cüzdanları ayırma, önemli hesaplar için donanım onayı ve düzenli çıkış. Daha sonra Web3 yetkilendirme hem rahatlık hem de gerçek güvenlik sağlayacaktır.