Подключаем Coinbase Wallet: SDK, Wagmi, Smart Wallet и Deep Link

Наша компания занимается разработкой, поддержкой и обслуживанием сайтов любой сложности. От простых одностраничных сайтов до масштабных кластерных систем построенных на микро сервисах. Опыт разработчиков подтвержден сертификатами от вендоров.

Разработка и обслуживание любых видов сайтов:

Информационные сайты или веб-приложения
Сайты визитки, landing page, корпоративные сайты, онлайн каталоги, квиз, промо-сайты, блоги, новостные ресурсы, информационные порталы, форумы, агрегаторы
Сайты или веб-приложения электронной коммерции
Интернет-магазины, B2B-порталы, маркетплейсы, онлайн-обменники, кэшбэк-сайты, биржи, дропшиппинг-платформы, парсеры товаров
Веб-приложения для управления бизнес-процессами
CRM-системы, ERP-системы, корпоративные порталы, системы управления производством, парсеры информации
Сайты или веб-приложения электронных услуг
Доски объявлений, онлайн-школы, онлайн-кинотеатры, конструкторы сайтов, порталы предоставления электронных услуг, видеохостинги, тематические порталы

Это лишь некоторые из технических типов сайтов, с которыми мы работаем, и каждый из них может иметь свои специфические особенности и функциональность, а также быть адаптированным под конкретные потребности и цели клиента

Услуги, которые мы предлагаем
Показано 1 из 1Все 2062 услуг
Подключаем Coinbase Wallet: SDK, Wagmi, Smart Wallet и Deep Link
Средний
~3-5 дней
Часто задаваемые вопросы

Наши компетенции:

Этапы разработки

Последние работы

  • image_website-b2b-advance_0.webp
    Разработка сайта компании B2B ADVANCE
    1364
  • image_web-applications_feedme_466_0.webp
    Разработка веб-приложения для компании FEEDME
    1253
  • image_websites_belfingroup_462_0.webp
    Разработка веб-сайта для компании БЕЛФИНГРУПП
    959
  • image_ecommerce_furnoro_435_0.webp
    Разработка интернет магазина для компании FURNORO
    1191
  • image_crm_enviok_479_0.webp
    Разработка веб-приложения для компании Enviok
    932
  • image_bitrix-bitrix-24-1c_fixper_448_0.webp
    Разработка веб-сайта для компании ФИКСПЕР
    949

Интеграция Coinbase Wallet для подключения к сайту

При разработке dApp на React/Next.js мы регулярно сталкиваемся с запросами на внедрение Coinbase Wallet. Клиенты жалуются на hydration mismatch при SSR и избыточные запросы при подписи. Разработанный нами подход решает эти проблемы и обеспечивает бесшовный пользовательский опыт.

Недавно к нам обратился стартап с dApp для NFT-маркетплейса на Next.js. Они столкнулись с тем, что при загрузке страницы кошелёк не определялся, а после подключения возникали ошибки подписи. Мы диагностировали проблему — отсутствие динамического импорта SDK и неправильная обработка саспенса. После интеграции через Wagmi с coinbaseWallet connector и настройки серверного рендеринга проблема была решена за один день.

Почему стандартная интеграция Coinbase Wallet может подвести?

  • Hydration mismatch при рендеринге на сервере: Coinbase Wallet SDK не оптимизирован для SSR. Если использовать window.ethereum без проверки, Next.js выдаёт ошибки. Мы используем динамический импорт и Suspense.
  • N+1 запросы при авторизации: каждый вызов eth_requestAccounts может приводить к избыточным запросам. Мы кешируем адрес через useAccount из Wagmi.
  • Mobile deep linking: на iOS/Android WalletConnect SDK не всегда корректно открывает приложение. Нужна правильная конфигурация cbwallet:// и fallback.

Согласно Coinbase Wallet SDK на GitHub, последние версии поддерживают Smart Wallet без seed-фраз.

Как избежать ошибок SSR при подключении Coinbase Wallet?

Для предотвращения hydration mismatch используйте динамический импорт SDK и компонента подключения. Оберните код, обращающийся к window.ethereum, в useEffect или используйте библиотеку next/dynamic с отключением SSR. Пример:

const WalletButton = dynamic(() => import('./WalletButton'), { ssr: false });

Это гарантирует, что код кошелька выполняется только на клиенте.

Пошаговая настройка интеграции Coinbase Wallet

  1. Установите пакеты: npm install @coinbase/wallet-sdk wagmi viem @tanstack/react-query.
  2. Создайте конфигурацию Wagmi с connector coinbaseWallet и настройте цепочки.
  3. Реализуйте компонент подключения: используйте хук useConnect из Wagmi для инициации соединения.
import { createConfig, http } from 'wagmi';
import { mainnet, polygon } from 'wagmi/chains';
import { coinbaseWallet } from 'wagmi/connectors';

export const config = createConfig({
  chains: [mainnet, polygon],
  connectors: [
    coinbaseWallet({ appName: 'My App', preference: 'smartWalletOnly' }),
    metaMask(),
    walletConnect({ projectId: 'YOUR_PROJECT_ID' })
  ],
  transports: {
    [mainnet.id]: http(),
    [polygon.id]: http()
  }
});

Smart Wallet (Coinbase Wallet v4)

Coinbase Smart Wallet — новый тип кошелька без seed-фразы на основе Passkey. Позволяет создать кошелёк без MetaMask и без seed-фразы:

import { CoinbaseWalletSDK } from '@coinbase/wallet-sdk';

const sdk = new CoinbaseWalletSDK({
  appName: 'My App',
  preference: {
    options: 'smartWalletOnly',  // только Smart Wallet
    keysUrl: 'https://keys.coinbase.com/connect'
  }
});

Подробнее: Passkey — технология аутентификации без паролей.

Авторизация через подпись

import { useConnect, useSignMessage, useAccount } from 'wagmi';
import { coinbaseWallet } from 'wagmi/connectors';

function CoinbaseLogin() {
  const { connect } = useConnect();
  const { address, isConnected } = useAccount();
  const { signMessageAsync } = useSignMessage();

  const handleLogin = async () => {
    if (!isConnected) {
      await connect({ connector: coinbaseWallet({ appName: 'My App' }) });
    }
    const nonce = await getNonce(address);
    const signature = await signMessageAsync({
      message: `Login to example.com\nNonce: ${nonce}`
    });
    const token = await verifySignature(address, signature);
    setToken(token);
  };

  return <button onClick={handleLogin}>Войти через Coinbase Wallet</button>;
}

Mobile Deep Link

Подробнее о настройке Deep Link

На мобильных устройствах WalletConnect SDK автоматически открывает Coinbase Wallet app через deep link: cbwallet://wsegue?uri=.... Для корректной работы необходимо:

  • Добавить домен в whitelist WalletConnect Cloud.
  • Настроить fallback на браузер, если приложение не установлено.
  • Проверить работу на iOS и Android эмуляторах.

Какой способ интеграции выбрать: прямой SDK или Wagmi?

Прямой Coinbase Wallet SDK даёт меньший бандл (~20 KB), но требует ручного управления состоянием. Wagmi + coinbaseWallet connector увеличивает бандл до ~50 KB, но обеспечивает автоматическое состояние, поддержку MetaMask и WalletConnect, а также встроенную обработку SSR. Wagmi сокращает объём boilerplate кода на 60% по сравнению с прямым SDK.

Параметр Прямой Coinbase Wallet SDK Wagmi + connector
Настройка Средняя (ручное управление) Высокая (автоматическое состояние)
SSR Требуется доработка Встроена через динамический импорт
Совместимость Только Coinbase Любые Wagmi-кошельки
Бандл ~20 KB ~50 KB

Выбор зависит от приоритетов. Если важен малый размер бандла — прямой SDK. Если нужна гибкость и поддержка других кошельков — Wagmi.

Как мы реализуем интеграцию за 2–3 дня?

Мы используем Wagmi + coinbaseWallet connector. Это позволяет централизованно управлять состоянием кошелька и поддерживать MetaMask, WalletConnect. Процесс работы:

Этап Детали Срок
Анализ и архитектура Определяем способ интеграции 0.5 дня
Настройка SDK и конфигурация Установка пакетов, chains, transport 0.5 дня
Реализация подключения и подписи Компонент, nonce, верификация 1 день
Mobile deep link и тестирование Проверка на iOS/Android 0.5 дня
Документация и обучение README, передача кода 0.5 дня

Итого: от 2 до 4 дней в зависимости от сложности. Интеграция через Wagmi снижает затраты на разработку и поддержку примерно на 30%.

Что входит в работу

  • Исходный код компонента (TypeScript, React/Vue/Angular)
  • Настройка WalletConnect Cloud (если требуется)
  • Интеграция с бэкендом (nonce, верификация подписи)
  • Тестирование на реальных мобильных устройствах
  • Документация и README
  • Поддержка в течение 1 месяца после сдачи

У нас 10+ лет опыта в веб-разработке и 50+ проектов с Web3. Даём гарантию на код 3 месяца. Стоимость фиксированная — запросите расчёт по вашему ТЗ. Для получения консультации по интеграции свяжитесь с нашими инженерами. Закажите интеграцию Coinbase Wallet в ваш проект.

Аутентификация и авторизация: OAuth, JWT, сессии, RBAC, 2FA

На одном проекте токен JWT с ролью admin: false мог быть изменён клиентом на admin: true — сервер принимал его без верификации подписи. Это не гипотетическая атака: несколько файлов в npm-экосистеме имели уязвимость jwt библиотеки, которая игнорировала алгоритм none. Последствия — полный доступ к административным функциям для любого зарегистрированного пользователя.

JWT: что реально нужно знать

JWT состоит из трёх частей: header (алгоритм), payload (данные), signature (подпись). Подпись верифицирует, что payload не изменён. Без проверки подписи — это просто base64-encoded JSON, который любой может подделать.

Ошибки, которые видим в коде регулярно:

Хранение в localStorage. localStorage доступен любому JS на странице — XSS атака читает токен и отправляет на сервер злоумышленника. Access token в памяти (переменная модуля), refresh token в httpOnly cookie — правильная схема.

Долгоживущие access-токены. Access token на 7 дней без возможности отзыва. Утёк — 7 дней доступа. Стандарт: 15 минут для access token, 30 дней для refresh token с ротацией. При каждом использовании refresh token выдаётся новый, старый инвалидируется — если старый кто-то использует повторно, это детектируется как Token Reuse Attack, вся семья токенов отзывается.

Хранение секретных данных в payload. JWT payload не зашифрован, только подписан — его видно в base64. Пароли, платёжные данные, личная информация — не в JWT.

Алгоритм RS256 (асимметричный) предпочтительнее HS256 (симметричный) в микросервисной архитектуре: сервисы могут верифицировать токен публичным ключом, не имея доступа к секрету для его создания.

OAuth 2.0 и OpenID Connect

OAuth 2.0 — протокол делегированной авторизации, не аутентификации. «Войти через Google» — это OpenID Connect поверх OAuth 2.0, который добавляет id_token с данными пользователя.

Authorization Code Flow с PKCE — единственный правильный flow для браузерных SPA и мобильных приложений. Implicit Flow устарел и небезопасен. PKCE (Proof Key for Code Exchange) защищает от перехвата authorization code.

Реализация OAuth сервера: не пишем с нуля. Keycloak (open source, self-hosted), Auth0, Okta — готовые решения. Laravel Passport или Laravel Sanctum для серверных приложений. NextAuth.js для Next.js — поддерживает 50+ провайдеров из коробки.

Для B2B продуктов с корпоративными клиентами — SAML 2.0 SSO. Корпоративные IT-отделы часто требуют его вместо OAuth. @boxyhq/saml-jackson — node.js библиотека для SAML → OAuth2 адаптера.

Сессии vs токены

Сессии хранят состояние на сервере (Redis, database) — сервер может мгновенно отозвать сессию. При масштабировании на несколько инстансов нужен общий store (Redis Cluster). Cookie с session ID — httpOnly, Secure, SameSite=Strict.

Stateless JWT не требуют server-side storage, масштабируются горизонтально. Но отзыв токена до истечения срока — только через blacklist (Redis), что частично убирает преимущество stateless.

Для большинства веб-приложений сессии проще и безопаснее. JWT имеет смысл для API, потребляемых из мобильного приложения, и для микросервисной архитектуры.

RBAC и политики доступа

Role-Based Access Control — у пользователя есть роли, у ролей — права. Простая реализация: user → roles → permissions. Но как только появляется ресурсная авторизация («пользователь может редактировать только свои посты»), RBAC усложняется.

Spatie Laravel Permission — стандарт для Laravel: полиморфные роли и права, кэширование, super-admin через gate. Интеграция с Eloquent: $user->can('edit posts'), $user->hasRole('editor').

ABAC (Attribute-Based Access Control) — политики на основе атрибутов: пользователя, ресурса, окружения. Нужен когда правила доступа сложные: «менеджер может просматривать заказы своего региона, если заказ создан более 24 часов назад». Casbin — популярная cross-language библиотека для ABAC.

ReBAC (Relationship-Based Access Control) — Google Zanzibar model. Доступ определяется графом отношений: «пользователь X является участником команды Y, которая имеет доступ к проекту Z». OpenFGA — open source реализация от Okta.

Двухфакторная аутентификация

TOTP (Time-based One-Time Password, Google Authenticator, Authy) — стандарт. Библиотеки: otplib (Node.js), pragmarx/google2fa (Laravel). QR-код при подключении — base32-encoded secret, которого достаточно для воспроизведения кода при компрометации. Хранить secret в зашифрованном виде.

SMS-верификация — слабее TOTP из-за SIM-swapping атак и ненадёжности доставки SMS. Но пользователи активируют её охотнее. Email OTP — компромисс между безопасностью и UX.

WebAuthn (Passkeys) — биометрия или аппаратный ключ вместо пароля. Хранится private key на устройстве, публичный — на сервере. Нет пароля — нет его утечки. iOS 16+, Android 9+, все современные браузеры поддерживают. @simplewebauthn/server + @simplewebauthn/browser — хорошая библиотека для Node.js реализации.

Backup-коды при подключении 2FA: 10 одноразовых кодов для восстановления доступа если телефон потерян. Хранить хешированными (bcrypt), показывать только один раз при генерации.

Типичные уязвимости

Broken Object Level Authorization (BOLA/IDOR): /api/orders/12345 возвращает заказ без проверки, принадлежит ли он текущему пользователю. Самая распространённая уязвимость API по OWASP. Каждый запрос к ресурсу — проверка через $user->can('view', $order).

Mass Assignment: User::create($request->all()) — пользователь передаёт is_admin: true в теле запроса. Laravel решает через $fillable / $guarded, но часто забывают.

Небезопасный CORS: Access-Control-Allow-Origin: * на API с авторизацией по cookie — credentials не передаются с wildcard origin, но если кто-то сделал Allow-Credentials: true + Allow-Origin: * — это дыра.

Процесс работы

Архитектура авторизации проектируется до начала разработки, не добавляется потом. Выбор между сессиями и JWT, структура ролей и прав, flow для OAuth-провайдеров, план для 2FA. Penetration testing обязателен для продуктов с финансовыми данными или персональными данными пользователей.

Сроки

Базовая аутентификация (email/password + OAuth + JWT/сессии): 1–3 недели. RBAC с детальными политиками доступа: 2–4 недели. 2FA (TOTP + SMS): 1–2 недели. WebAuthn/Passkeys: 2–3 недели. Полная система аутентификации для SaaS с multi-tenancy: 4–8 недель.