Avtorizatsiya qilish uchun Web3 hamyonini qanday ishlatish kerak

Web3 hamyon orqali avtorizatsiya qilish - bu parolsiz xizmatga kirishdir, u yerda siz kriptografik imzo manziliga egalik qilganingizni tasdiqlaysiz. Sayt maxsus shakllangan xabar uchun imzo soʻraydi, hamyon sizga matnni va domenni koʻrsatadi, siz imzo chekasiz va sessiyani olasiz. Maxfiy soʻzlar, tasdiqlash elektron pochta va SMS kerak emas, fishing xavfi esa toʻgʻri amalga oshirilganda kamayadi. Quyida - bu qanday ishlaydi va undan qanday foydalanish xavfsiz.

1) Nima uchun parol o’rniga hamyon bilan kirishish kerak?

Maxfiy soʻz yoki sizib chiqish yoʻq. Xizmat parollari bazasiga emas, balki kalitingizga ulangan.

Yagona «raqamli vizitka». Koʻp dasturlar uchun bitta manzil/nom (ENS/UNS/NFD va h.k.).

Multicheyn va chidamlilik. Hamyoningiz (yoki apparatda seed) mavjud boʻlgan har qanday qurilmadan kiring.

Maxfiylik. Siz qaysi maʼlumotlarni oshkor qilishni tanlaysiz; andoza bo’yicha - faqat manzil/imzo (agar xizmat ko’proq so’ramasa).

2) Kapot ostida qanday ishlaydi (qisqacha)

1. Hamyonni ulash. Brauzer kengaytmasi (MetaMask/Rabby va boshqalar) yoki WalletConnect (QR-kod) orqali.

2. Imzo soʻrovi (SIWE/EIP-4361). Sayt odamni o’qiydigan xabarni shakllantiradi: domen, manzilingiz, maqsad (login), nonce, amal qilish muddati va vaqt belgisi.

3. Hamyondagi imzo Matnni va domenni koʻryapsiz; tasdiqlansa - hamyon imzoni qaytaradi.

4. Tekshirish va sessiya. Sayt imzoni ommaviy kalit orqali tekshiradi va sessiya tokenini (odatda JWT/HTTP-cookie) beradi.

5. Qayta kirish. Hozircha imzo talab qilinmaydi. Muddat tugagach - yangi so’rov.

💡 Muhimi: bu pul o’tkazmasi emas, xabarning imzosi. Tarmoq komissiyasi undirilmaydi.

3) Bosqichma-bosqich: Web3 hamyoniga kirish

1. Saytda Connect wallet/Sign in tugmasini bosing.

2. Usulni tanlang: Extension (kengaytirish) yoki WalletConnect (QR).

3. Domen va soʻralgan tarmoqni (agar koʻrsatilgan boʻlsa) solishtiring.

4. Ulanganingizni tasdiqlang; Sign Message/Sign-In oynasi paydo boʻlishini kuting.

5. Xabarni diqqat bilan oʻqing: domen, manzil, nonce, amal qilish muddati.

6. Sign tugmasini bosing. Interfeys hisobga/profilga o’zgarganini ko’ring.

4) Avtorizatsiya qilishning tez-tez variantlari

SIWE (Sign-In With Ethereum). EVM-tarmoqlar uchun de-fakto standart; boshqa tarmoqlar uchun analoglar mavjud (Solana Sign-In, TON proof va boshqalar).

Passkeys + hamyon (gibrid). Ba’zi hamyonlar hamyonga passkey orqali kirishni qo’llab-quvvatlaydi; keyingi - imzo odatdagidek.

Account Abstraction (EIP-4337) va seans kalitlari. Dastur imzolarsiz harakat qilish uchun cheklangan «seans kalitini» berishi mumkin.

5) Xizmat sizni imzodan keyin qanday «taniydi»

Sayt umr ko’rish muddati (masalan, 1-24 soat) bo’lgan sessiya tokenini beradi va uni nonce va manzilga bog’laydi.

Har bir API soʻrovida token sizning avtorizatsiyangizni tasdiqlaydi.

Razlogin - tokenni olib tashlash (Logout tugmasi), majburiy - muddati tugashi/hamyonini almashtirishi bilan.

6) Xavfsizlik: imzodan oldin nimani tekshirish kerak

Domen. Hamyondagi domen tabning domeniga mos keladimi? (Gomograflar va poddomen-klonlar - qizil bayroq.)

Xabar matni. Maqsad (login), nonce, chainId (agar oʻrinli boʻlsa), amal qilish muddati va domen boʻlishi kerak. Hech qanday maxfiy’approve/permit’.

Imzo turi. Bu Transaction emas, balki Message/Personal Sign. Agar siz gaz/komissiya so’rovini ko’rsangiz, bu avtorizatsiya emas.

WalletConnect. So’rovdagi DApp nomi ochiq saytga mos keladi; QR - rasmiy sahifadan.

Apparat hamyoni. Muhim hisoblar uchun qurilmaning ekranidagi imzoni tasdiqlang.

7) Foydalanuvchi uchun eng yaxshi amaliyotlar

Hamyonlaringizni ajrating. «Ommaviy login/o’yin» vs «saqlash uchun sovuq».

Web3 uchun minimal kengaytmalar va alohida brauzer profili.

Xatchoʻplar. Xizmatlarga qidiruvdan emas, balki xatchoʻplaringizdan kiring.

Muntazam kelishmovchilik. Umumiy/ish qurilmalaridagi sessiyalarni yoping.

Revok haq. Avtorizatsiya token huquqlarini bermaydi, lekin DApp bilan o’zaro aloqada bo’lganingizdan so’ng, qo’shimcha approve/permit’ni tekshirib ko’ring.

Logi. Agar muhim boʻlsa, kirish sanasi/domeni/manzilini saqlang (korporativ holatlar).

8) Ishlab chiquvchilar/operatorlar uchun amaliyotlar

Qattiq SIWE formati. Domen, nonce, muddat, chainId kiriting; backendda validatsiya qilish.

Qisqa sessiyalar + refresh. Tokenni oʻgʻirlash ehtimoli kamroq. Cookie — HttpOnly, Secure, SameSite.

User-Agent/IP bilan bogʻlanish (vaziyat boʻyicha) va barcha sessiyalarni chaqirib olish imkoniyati.

Multicheynni qo’llab-quvvatlash. SIWx (EVM), Solana Sign-In, TON-proof; aktiv tarmoqni koʻrsating.

Fishingga qarshi. Modalkada katta domenni koʻrsating va profilga oʻz antifishing iborasini qoʻshing.

Ixtiyoriy AA/Session keys. Ruxsatnomalarni cheklang: vaqt, usullar, limitlar.

9) Odatiy xatolar va ulardan qanday qochish mumkin

O’qimasdan «nimadir» deb imzo chekishdi. Yechim: bu Transaction emas, balki Message ekanligini tekshiring; domen va maqsadni oʻqing.

WalletConnect soxta dastur uchun. Yechim: modalkada nomini/domenini solishtiring; QRni faqat rasmiy sahifada skanerlang.

Birovning shaxsiy kompyuterida abadiy sessiyalar. Yechim: qo’lda chiqish; Shaxsiy oynalar/profillardan foydalaning.

Hamyonlarni aralashtirish. Yechim: alohida «login/o’yin» va «sovuq».

«Bonusni tekshirish/airdrop» orqali fishing. Yechim: avtorizatsiya’approve/transfer’emas. Gaz ko’rinishida - bekor qilish.

10) Foydalanuvchi cheklisti (30-60 soniya)

Xatchoʻpdan saytni ochdim, domen brauzerda va hamyon oynasida mos keladi.
Modalkada - Connect, keyin Sign message, «Send/Approve» emas.
Matnda nonce, domen, maqsad (login), amal qilish muddati mavjud.
Muhim hisoblar uchun apparat hamyonidan foydalanaman.
Ishdan keyin - Logout, qo’shimcha tablarni yopish/DApp ulanish.

11) Mini-FAQ

Hamyon bilan avtorizatsiya qilish bepul emasmi? Ha, bu gazsiz xabarning imzosi.

Sayt kirishda tokenlarni hisobdan chiqara oladimi? Agar xabarni imzolayotgan boʻlsangiz, yoʻq. Hisobdan chiqarish tranzaksiya/approve talab qiladi.

Agar hamyonimni yo’qotsam nima bo’ladi? Sessiyalar tugaydi, lekin saytlardagi akkauntlar yangi kalitsiz qaytmaydi. Seed zaxirasini yarating va sovuqdan foydalaning.

Telefondan kirish mumkinmi? Ha: WalletConnect (QR/chuqur havola) yoki mobil kengaytirish/o’rnatilgan hamyon brauzeri.

Bu KYC oʻrnini bosadimi? Yo’q. Avtorizatsiya orqali manzilga egalik qilish, KYC - mijozlar toʻgʻrisidagi qonun tasdiqlanadi.

Web3 hamyon orqali kirish - parolsiz avtorizatsiya qilishning qulay va xavfsiz usuli: siz oʻqiladigan xabarni (SIWE) imzolaysiz, xizmat imzoni tekshiradi va sessiyani beradi. Eng asosiysi - o’z xatcho’plari, domen va imzo matnini tekshirish, hamyonlarni ajratish, muhim akkauntlar uchun apparat tasdig’i va muntazam logout. Shunda Web3 avtorizatsiyasi ham qulaylik, ham haqiqiy xavfsizlik beradi.