TON Connect и разница между «подключён» и «доказано, что твой»

Сессия TON Connect устанавливается для каждого приложения и может восстанавливаться, но не является постоянной.

Пользователей периодически приходится подключать заново. Схема, рассчитанная на бессрочную сессию, даёт бота, который для вернувшихся пользователей тихо перестаёт работать, и ошибки при этом никто не видит.

Полезную нагрузку для подтверждения подключения формирует само приложение, а кошелёк возвращает её подписанной.

Это обязан быть сгенерированный сервером разовый код с коротким сроком жизни, сохранённый и погашаемый ровно один раз. Постоянная нагрузка превращает подтверждение в воспроизводимый токен, а это строго хуже, чем отсутствие проверки, потому что выглядит как защита.

Запрос транзакции возвращает результат в момент отправки кошельком, а не в момент подтверждения сетью.

Выдача товара ждёт подтверждения в блокчейне, а не ответа кошелька. То, что кошелёк сообщил об отправке, ещё не означает согласия сети с тем, что это произошло.

Поддержка необязательных возможностей протокола различается от кошелька к кошельку.

Тестируйте на тех кошельках, которыми реально пользуется ваша аудитория, а не на одном. Поведение, работающее в самом популярном кошельке, ничего не гарантирует для второго и третьего.

Пользователь подтвердил операцию в приложении кошелька и не вернулся в Telegram.

На мобильных обратный путь — самое слабое звено всего сценария. Состояние хранится на сервере и привязано к подключению, поэтому повторное открытие Mini App продолжает начатое, а не начинает заново.

Прислано подтверждение для адреса, которым пользователь не владеет.

Проверка подписи его отклоняет. Это ровно та атака, ради которой подтверждение и существует, и она без труда проходит против любой интеграции, принимающей заявленный адрес на слово.

Транзакция отправлена, но приложение о ней так и не узнало.

Сверка следит за блокчейном в ожидании нужных транзакций, а не полагается на отчёт кошелька. Блокчейн — источник истины и заодно единственная сторона, которая не может потерять сообщение.

Одно и то же подтверждение воспроизводят против второй сессии.

Разовые коды одноразовые и короткоживущие, поэтому повтор не проходит. Без этого одно перехваченное подтверждение аутентифицирует бесконечно.

Глобально

TON Connect — протокол, а не лицензируемый сервис, поэтому подключаться в юрисдикции не нужно. То, что вы на нём построите, при этом вполне может регулироваться.

Объединённые Арабские Эмираты

Широко используется проектами из Дубая. Учитывайте, что хранение или перевод средств пользователей — деятельность под надзором VARA независимо от того, каким протоколом эти средства движутся.

Охват кошельков

Поддерживается основными кошельками TON, включая встроенный в Telegram. Конкретные кошельки вашей аудитории стоит зафиксировать на этапе оценки, поскольку поддержка возможностей неодинакова.

Только некастодиальные сценарии

TON Connect подключает кошелёк, которым владеет сам пользователь. Это не решение для хранения средств, и оно не снимает обязанностей, возникающих, если средства держите вы.