Реалізація Sign-In with Ethereum (SIWE) на сайті

Реалізація Sign-In with Ethereum (SIWE) на сайті

Sign-In with Ethereum (EIP-4361) — стандарт авторизації через Ethereum-кошелёк. Аналогічно «Sign in with Google», але замість OAuth — підпис структурованого сповіщення приватним ключем. Стандарт описує точний формат сповіщення, яке користувач підписує.

Формат SIWE-сповіщення

example.com wants you to sign in with your Ethereum account:
0x742d35Cc6634C0532925a3b844Bc454e4438f44e

Sign in to Example App

URI: https://example.com
Version: 1
Chain ID: 1
Nonce: oBbLoEldZs
Issued At: 2026-03-28T10:00:00.000Z
Expiration Time: 2026-03-28T10:15:00.000Z

Стандарт запобігає фішинговим атакам: підписаний URI повинен відповідати домену сайту.

Встановлення

npm install siwe ethers

Frontend — React

import { SiweMessage } from 'siwe';
import { ethers } from 'ethers';

async function signInWithEthereum() {
  const provider = new ethers.BrowserProvider(window.ethereum);
  await provider.send('eth_requestAccounts', []);
  const signer = await provider.getSigner();
  const address = await signer.getAddress();
  const chainId = (await provider.getNetwork()).chainId;

  // Отримати nonce від сервера
  const nonce = await fetch('/api/siwe/nonce').then(r => r.text());

  // Створити SIWE-сповіщення за стандартом EIP-4361
  const message = new SiweMessage({
    domain: window.location.host,           // обов'язково — ваш домен
    address,
    statement: 'Войти в Example App',
    uri: window.location.origin,
    version: '1',
    chainId: Number(chainId),
    nonce,
    issuedAt: new Date().toISOString(),
    expirationTime: new Date(Date.now() + 15 * 60 * 1000).toISOString()  // 15 хв
  });

  const signature = await signer.signMessage(message.prepareMessage());

  const response = await fetch('/api/siwe/verify', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ message: message.prepareMessage(), signature })
  });

  const { token } = await response.json();
  return token;
}

Backend — верифікація

import { SiweMessage } from 'siwe';

// GET /api/siwe/nonce
app.get('/api/siwe/nonce', (req, res) => {
  const nonce = generateNonce();  // з пакета siwe
  req.session.nonce = nonce;
  res.send(nonce);
});

// POST /api/siwe/verify
app.post('/api/siwe/verify', async (req, res) => {
  const { message, signature } = req.body;

  try {
    const siweMessage = new SiweMessage(message);

    const { data: fields } = await siweMessage.verify({
      signature,
      nonce: req.session.nonce,
      domain: 'example.com',  // перевірка домену — захист від фішингу
      time: new Date().toISOString()
    });

    // Nonce одноразовий — видалити після використання
    req.session.nonce = null;

    // Створити сесію
    const user = await userRepo.findOrCreateByAddress(fields.address.toLowerCase());

    const token = jwt.sign(
      { sub: user.id, address: fields.address, chainId: fields.chainId },
      process.env.JWT_SECRET,
      { expiresIn: '7d' }
    );

    res.json({ token, address: fields.address });

  } catch (error) {
    if (error.type === SiweErrorType.EXPIRED_MESSAGE) {
      return res.status(401).json({ error: 'Message expired, please try again' });
    }
    if (error.type === SiweErrorType.INVALID_SIGNATURE) {
      return res.status(401).json({ error: 'Invalid signature' });
    }
    if (error.type === SiweErrorType.DOMAIN_MISMATCH) {
      return res.status(401).json({ error: 'Domain mismatch' });
    }
    res.status(500).json({ error: 'Verification failed' });
  }
});

Інтеграція з next-auth

// pages/api/auth/[...nextauth].ts
import { SiweMessage } from 'siwe';
import NextAuth from 'next-auth';
import CredentialsProvider from 'next-auth/providers/credentials';

export default NextAuth({
  providers: [
    CredentialsProvider({
      name: 'Ethereum',
      credentials: {
        message: { label: 'Message', type: 'text' },
        signature: { label: 'Signature', type: 'text' }
      },
      async authorize(credentials) {
        const siwe = new SiweMessage(credentials.message);
        const result = await siwe.verify({
          signature: credentials.signature,
          domain: process.env.NEXTAUTH_URL
        });

        if (result.success) {
          return { id: result.data.address };
        }
        return null;
      }
    })
  ],
  session: { strategy: 'jwt' }
});

Терміни

SIWE з nonce, верифікацією та JWT — 2–4 дні.