Интеграция WalletConnect для подключения криптокошелька к сайту

Наша компания занимается разработкой, поддержкой и обслуживанием сайтов любой сложности. От простых одностраничных сайтов до масштабных кластерных систем построенных на микро сервисах. Опыт разработчиков подтвержден сертификатами от вендоров.

Разработка и обслуживание любых видов сайтов:

Информационные сайты или веб-приложения
Сайты визитки, landing page, корпоративные сайты, онлайн каталоги, квиз, промо-сайты, блоги, новостные ресурсы, информационные порталы, форумы, агрегаторы
Сайты или веб-приложения электронной коммерции
Интернет-магазины, B2B-порталы, маркетплейсы, онлайн-обменники, кэшбэк-сайты, биржи, дропшиппинг-платформы, парсеры товаров
Веб-приложения для управления бизнес-процессами
CRM-системы, ERP-системы, корпоративные порталы, системы управления производством, парсеры информации
Сайты или веб-приложения электронных услуг
Доски объявлений, онлайн-школы, онлайн-кинотеатры, конструкторы сайтов, порталы предоставления электронных услуг, видеохостинги, тематические порталы

Это лишь некоторые из технических типов сайтов, с которыми мы работаем, и каждый из них может иметь свои специфические особенности и функциональность, а также быть адаптированным под конкретные потребности и цели клиента

Услуги, которые мы предлагаем
Показано 1 из 1Все 2062 услуг
Интеграция WalletConnect для подключения криптокошелька к сайту
Средний
~3-5 дней
Часто задаваемые вопросы

Наши компетенции:

Этапы разработки

Последние работы

  • image_website-b2b-advance_0.webp
    Разработка сайта компании B2B ADVANCE
    1364
  • image_web-applications_feedme_466_0.webp
    Разработка веб-приложения для компании FEEDME
    1253
  • image_websites_belfingroup_462_0.webp
    Разработка веб-сайта для компании БЕЛФИНГРУПП
    959
  • image_ecommerce_furnoro_435_0.webp
    Разработка интернет магазина для компании FURNORO
    1191
  • image_crm_enviok_479_0.webp
    Разработка веб-приложения для компании Enviok
    932
  • image_bitrix-bitrix-24-1c_fixper_448_0.webp
    Разработка веб-сайта для компании ФИКСПЕР
    950

Интеграция WalletConnect для подключения криптокошелька к сайту

Вы разработали dApp и столкнулись с проблемой: пользователи не могут залогиниться с мобильного кошелька. Браузерные расширения типа MetaMask не работают на телефонах, а встраивать каждый кошелёк отдельно — бесконечная головная боль. Мы решаем эту задачу через WalletConnect — открытый протокол, который за пару дней даёт подключение 400+ кошельков через QR-код или deep link. Ниже — как мы это делаем, с кодом и реальными конфигами. Если вы ищете готовое решение для Web3-аутентификации — свяжитесь с нами: мы реализуем интеграцию с учётом ваших требований.

Почему WalletConnect v2, а не v1?

WalletConnect v2 (через Reown AppKit) полностью заменил первую версию. Он быстрее: установка соединения занимает менее секунды против нескольких у v1. Поддерживает мультичейн: можно подключиться одновременно к Ethereum, Polygon и Arbitrum (до 5 сетей). И главное — встроенная авторизация через подпись сообщения (EIP-712). V1 больше не поддерживается и не рекомендован для новых проектов.

Как работает подключение кошелька?

Процесс выглядит так:

  1. Пользователь нажимает «Подключить кошелёк».
  2. Генерируется сессия WalletConnect, отображается QR-код или deep link.
  3. Кошелёк пользователя сканирует QR, подписывает запрос на соединение.
  4. dApp получает адрес кошелька и может запрашивать подписи транзакций.

Для авторизации мы дополнительно запрашиваем подпись сообщения (Sign-in with Ethereum): пользователь подписывает nonce, сервер проверяет подпись и выдаёт JWT-токен. Никаких паролей.

Как обеспечивается безопасность авторизации?

WalletConnect Protocol использует end-to-end шифрование и не хранит приватные ключи на сервере.

Авторизация через подпись nonce защищает от повторных атак. Nonce генерируется сервером, имеет короткий срок жизни (обычно 5 минут) и аннулируется после использования. Дополнительно можно настроить CORS-ограничения на стороне API.

Как генерируется nonceNonce — это одноразовая строка, генерируемая сервером с использованием криптостойкого генератора. Он имеет время жизни 5 минут и должен быть подписан пользователем. После проверки подписи nonce аннулируется.

Реализация на React + Wagmi (AppKit)

Устанавливаем пакеты:

npm install @reown/appkit @reown/appkit-adapter-wagmi wagmi [email protected] @tanstack/react-query

Регистрируем проект на Reown Cloud (бесплатный план — до 50 000 активных пользователей в месяц). Получаем projectId.

Код подключения:

import { createAppKit } from '@reown/appkit/react';
import { WagmiProvider } from 'wagmi';
import { mainnet, polygon, arbitrum } from '@reown/appkit/networks';
import { WagmiAdapter } from '@reown/appkit-adapter-wagmi';
import { QueryClient, QueryClientProvider } from '@tanstack/react-query';

const queryClient = new QueryClient();

const projectId = process.env.NEXT_PUBLIC_WALLETCONNECT_PROJECT_ID;

const networks = [mainnet, polygon, arbitrum];
const wagmiAdapter = new WagmiAdapter({ networks, projectId });

createAppKit({
  adapters: [wagmiAdapter],
  networks,
  projectId,
  metadata: {
    name: 'My App',
    description: 'My Web3 Application',
    url: 'https://example.com',
    icons: ['https://example.com/icon.png']
  },
  features: {
    analytics: false,
    email: false,
    socials: false
  }
});

function App() {
  return (
    <WagmiProvider config={wagmiAdapter.wagmiConfig}>
      <QueryClientProvider client={queryClient}>
        <YourApp />
      </QueryClientProvider>
    </WagmiProvider>
  );
}

Кнопка подключения и авторизация

import { useAppKit, useAppKitAccount } from '@reown/appkit/react';
import { useSignMessage } from 'wagmi';

function ConnectButton() {
  const { open } = useAppKit();
  const { address, isConnected } = useAppKitAccount();
  const { signMessageAsync } = useSignMessage();

  const handleLogin = async () => {
    if (!isConnected) {
      await open();
      return;
    }

    // Авторизация через подпись
    const nonce = await fetch(`/api/auth/nonce?address=${address}`)
      .then(r => r.json()).then(d => d.nonce);

    const message = `Авторизация на example.com\nNonce: ${nonce}`;
    const signature = await signMessageAsync({ message });

    const { token } = await fetch('/api/auth/web3', {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({ address, signature, message })
    }).then(r => r.json());

    setAuthToken(token);
  };

  return (
    <button onClick={handleLogin}>
      {isConnected ? `Войти как ${address?.slice(0, 6)}...` : 'Подключить кошелёк'}
    </button>
  );
}

Настройка deep link для мобильных кошельков

Deep link позволяет открывать кошелёк напрямую с сайта на мобильном устройстве, минуя QR-код. Настраиваем universal link для iOS и intent для Android. В Reown Cloud включаем deep link в настройках проекта и указываем поддерживаемые схемы (например, wc:). Для корректной работы на Android требуется обработка intent через WalletConnectBridge.

Обработка ошибок соединения

Важно обрабатывать ошибки: отказ пользователя, таймаут, неподдерживаемая сеть. Wagmi AppKit предоставляет хуки useWalletInfo и useConnectionError. Мы добавляем fallback: если подключение не удалось, предлагаем выбор использовать браузерное расширение. Также логируем события для отладки.

Project ID

WalletConnect v2 требует регистрации проекта на Reown Cloud для получения projectId. Бесплатный план: до 50 000 активных пользователей/месяц. Этого достаточно для большинства стартапов. Если нужен большой объём, предусмотрены платные тарифы.

Поддерживаемые кошельки

WalletConnect работает с MetaMask Mobile, Trust Wallet, Rainbow, Coinbase Wallet, Ledger Live, Argent, Safe и сотнями других. Для мобильных — QR-код или universal link.

Кошелёк Тип Поддержка WalletConnect v2
MetaMask Mobile Мобильный Да
Trust Wallet Мобильный Да
Rainbow Мобильный Да
Coinbase Wallet Мобильный/Десктоп Да
Ledger Live Десктоп (через мобильный) Да
Argent Мобильный Да
Safe Мультиподпись Да

Сравнение планов Reown Cloud

Характеристика Бесплатный Стартовый
Активные пользователи/мес до 50 000 до 500 000
Количество проектов 1 10
Поддержка Community Email
Стоимость Бесплатно По запросу

Что входит в работу?

  • Регистрация проекта и настройка API-ключей.
  • Разработка компонента подключения кошелька (кнопка, модалка, обработка состояний).
  • Реализация авторизации через подпись сообщения (Sign-in with Ethereum).
  • Поддержка мультичейна (до 5 сетей).
  • Документация по интеграции и инструкция для пользователя.
  • Гарантия совместимости с основными кошельками.

Сроки

Базовая интеграция WalletConnect с авторизацией — 3–5 дней. Если нужна кастомная модалка, поддержка deep link или реферальные ссылки — до 2 недель. Оценим ваш проект бесплатно — свяжитесь, чтобы обсудить детали.

Получите консультацию по интеграции WalletConnect — обсудим ваш проект и предложим оптимальный план. Закажите интеграцию под ключ с гарантией совместимости: наши инженеры с многолетним опытом в блокчейне реализуют всё быстро и безопасно.

Аутентификация и авторизация: OAuth, JWT, сессии, RBAC, 2FA

На одном проекте токен JWT с ролью admin: false мог быть изменён клиентом на admin: true — сервер принимал его без верификации подписи. Это не гипотетическая атака: несколько файлов в npm-экосистеме имели уязвимость jwt библиотеки, которая игнорировала алгоритм none. Последствия — полный доступ к административным функциям для любого зарегистрированного пользователя.

JWT: что реально нужно знать

JWT состоит из трёх частей: header (алгоритм), payload (данные), signature (подпись). Подпись верифицирует, что payload не изменён. Без проверки подписи — это просто base64-encoded JSON, который любой может подделать.

Ошибки, которые видим в коде регулярно:

Хранение в localStorage. localStorage доступен любому JS на странице — XSS атака читает токен и отправляет на сервер злоумышленника. Access token в памяти (переменная модуля), refresh token в httpOnly cookie — правильная схема.

Долгоживущие access-токены. Access token на 7 дней без возможности отзыва. Утёк — 7 дней доступа. Стандарт: 15 минут для access token, 30 дней для refresh token с ротацией. При каждом использовании refresh token выдаётся новый, старый инвалидируется — если старый кто-то использует повторно, это детектируется как Token Reuse Attack, вся семья токенов отзывается.

Хранение секретных данных в payload. JWT payload не зашифрован, только подписан — его видно в base64. Пароли, платёжные данные, личная информация — не в JWT.

Алгоритм RS256 (асимметричный) предпочтительнее HS256 (симметричный) в микросервисной архитектуре: сервисы могут верифицировать токен публичным ключом, не имея доступа к секрету для его создания.

OAuth 2.0 и OpenID Connect

OAuth 2.0 — протокол делегированной авторизации, не аутентификации. «Войти через Google» — это OpenID Connect поверх OAuth 2.0, который добавляет id_token с данными пользователя.

Authorization Code Flow с PKCE — единственный правильный flow для браузерных SPA и мобильных приложений. Implicit Flow устарел и небезопасен. PKCE (Proof Key for Code Exchange) защищает от перехвата authorization code.

Реализация OAuth сервера: не пишем с нуля. Keycloak (open source, self-hosted), Auth0, Okta — готовые решения. Laravel Passport или Laravel Sanctum для серверных приложений. NextAuth.js для Next.js — поддерживает 50+ провайдеров из коробки.

Для B2B продуктов с корпоративными клиентами — SAML 2.0 SSO. Корпоративные IT-отделы часто требуют его вместо OAuth. @boxyhq/saml-jackson — node.js библиотека для SAML → OAuth2 адаптера.

Сессии vs токены

Сессии хранят состояние на сервере (Redis, database) — сервер может мгновенно отозвать сессию. При масштабировании на несколько инстансов нужен общий store (Redis Cluster). Cookie с session ID — httpOnly, Secure, SameSite=Strict.

Stateless JWT не требуют server-side storage, масштабируются горизонтально. Но отзыв токена до истечения срока — только через blacklist (Redis), что частично убирает преимущество stateless.

Для большинства веб-приложений сессии проще и безопаснее. JWT имеет смысл для API, потребляемых из мобильного приложения, и для микросервисной архитектуры.

RBAC и политики доступа

Role-Based Access Control — у пользователя есть роли, у ролей — права. Простая реализация: user → roles → permissions. Но как только появляется ресурсная авторизация («пользователь может редактировать только свои посты»), RBAC усложняется.

Spatie Laravel Permission — стандарт для Laravel: полиморфные роли и права, кэширование, super-admin через gate. Интеграция с Eloquent: $user->can('edit posts'), $user->hasRole('editor').

ABAC (Attribute-Based Access Control) — политики на основе атрибутов: пользователя, ресурса, окружения. Нужен когда правила доступа сложные: «менеджер может просматривать заказы своего региона, если заказ создан более 24 часов назад». Casbin — популярная cross-language библиотека для ABAC.

ReBAC (Relationship-Based Access Control) — Google Zanzibar model. Доступ определяется графом отношений: «пользователь X является участником команды Y, которая имеет доступ к проекту Z». OpenFGA — open source реализация от Okta.

Двухфакторная аутентификация

TOTP (Time-based One-Time Password, Google Authenticator, Authy) — стандарт. Библиотеки: otplib (Node.js), pragmarx/google2fa (Laravel). QR-код при подключении — base32-encoded secret, которого достаточно для воспроизведения кода при компрометации. Хранить secret в зашифрованном виде.

SMS-верификация — слабее TOTP из-за SIM-swapping атак и ненадёжности доставки SMS. Но пользователи активируют её охотнее. Email OTP — компромисс между безопасностью и UX.

WebAuthn (Passkeys) — биометрия или аппаратный ключ вместо пароля. Хранится private key на устройстве, публичный — на сервере. Нет пароля — нет его утечки. iOS 16+, Android 9+, все современные браузеры поддерживают. @simplewebauthn/server + @simplewebauthn/browser — хорошая библиотека для Node.js реализации.

Backup-коды при подключении 2FA: 10 одноразовых кодов для восстановления доступа если телефон потерян. Хранить хешированными (bcrypt), показывать только один раз при генерации.

Типичные уязвимости

Broken Object Level Authorization (BOLA/IDOR): /api/orders/12345 возвращает заказ без проверки, принадлежит ли он текущему пользователю. Самая распространённая уязвимость API по OWASP. Каждый запрос к ресурсу — проверка через $user->can('view', $order).

Mass Assignment: User::create($request->all()) — пользователь передаёт is_admin: true в теле запроса. Laravel решает через $fillable / $guarded, но часто забывают.

Небезопасный CORS: Access-Control-Allow-Origin: * на API с авторизацией по cookie — credentials не передаются с wildcard origin, но если кто-то сделал Allow-Credentials: true + Allow-Origin: * — это дыра.

Процесс работы

Архитектура авторизации проектируется до начала разработки, не добавляется потом. Выбор между сессиями и JWT, структура ролей и прав, flow для OAuth-провайдеров, план для 2FA. Penetration testing обязателен для продуктов с финансовыми данными или персональными данными пользователей.

Сроки

Базовая аутентификация (email/password + OAuth + JWT/сессии): 1–3 недели. RBAC с детальными политиками доступа: 2–4 недели. 2FA (TOTP + SMS): 1–2 недели. WebAuthn/Passkeys: 2–3 недели. Полная система аутентификации для SaaS с multi-tenancy: 4–8 недель.