Каждый веб-сайт, взаимодействующий с расширением, нуждается в вашем разрешении. Расширение не предоставляет полный доступ к вашим ключам или кошельку — каждый сайт получает собственную область разрешений. Это руководство объясняет, как эффективно управлять этими разрешениями.

Как работают разрешения

Когда веб-сайт пытается обратиться к подписанту NIP-07 или WebLN-провайдеру расширения, расширение проверяет, есть ли у этого сайта разрешение. Если нет, вы видите запрос с предложением одобрить или отклонить.

Каждое решение о разрешении сохраняется для конкретного сайта. Одобрение подписания на Primal не даёт автоматического разрешения на подписание на Snort. Вы формируете белый список доверенных сайтов по одному.

Типы разрешений

Расширение управляет несколькими различными разрешениями для каждого сайта.

Чтение публичного ключа

Позволяет сайту видеть ваш публичный ключ (npub). Это самое базовое разрешение — сайт может вас идентифицировать, но не может ничего делать от вашего имени.

Подписание событий

Позволяет сайту запрашивать подписи событий через NIP-07. Это значит, что сайт может просить вас подписать заметки, обновления профиля, реакции и другие события Nostr. Вы по-прежнему видите запрос подтверждения для каждого подписания, если не включили автоодобрение для этого сайта.

Шифрование и расшифровка

Позволяет сайту запрашивать зашифрованные личные сообщения NIP-04 или NIP-44. Сайт может попросить расширение зашифровать сообщение для конкретного получателя или расшифровать входящее сообщение.

Платежи WebLN

Позволяет сайту запрашивать Lightning-платежи через WebLN-провайдер. При предоставлении сайт может предъявлять инвойсы для оплаты — с учётом вашего порога автоодобрения.

Вы можете предоставить одни разрешения и отказать в других. Например, вы можете разрешить сайту читать ваш публичный ключ и запрашивать подписи, но отказать в доступе к WebLN, если не хотите, чтобы он предлагал платежи.

Управление разрешениями сайтов

Просмотр выданных разрешений

Откройте расширение и нажмите Настройки.
Перейдите в Разрешения сайтов (или Разрешения).
Вы увидите список всех сайтов, которым были выданы какие-либо разрешения, вместе с тем, что каждый сайт может делать.

Отзыв разрешений

Если хотите убрать доступ сайта:

Найдите сайт в списке разрешений.
Нажмите на имя сайта, чтобы развернуть подробности.
Отключите отдельные разрешения или нажмите Отозвать все, чтобы убрать весь доступ.
Изменение вступает в силу немедленно. Сайту придётся снова запросить разрешение при следующей попытке.

Временные и постоянные разрешения

Когда вы видите запрос разрешения, обычно есть два варианта:

Разрешить однократно — выдаёт разрешение только на эту сессию. Когда вы закроете вкладку или перезапустите браузер, сайту придётся спрашивать снова.
Всегда разрешать — выдаёт разрешение навсегда для этого сайта. Оно сохраняется между сессиями.

Используйте «Разрешить однократно» для сайтов, которые посещаете нечасто. Используйте «Всегда разрешать» для ваших повседневных клиентов Nostr.

Лучшие практики безопасности

Выдавайте только те разрешения, которые сайту действительно нужны. Клиенту Nostr нужен доступ к подписанию, но обозревателю только для чтения нужен лишь ваш публичный ключ. Периодически пересматривайте список разрешений и отзывайте доступ для сайтов, которыми больше не пользуетесь.

Если незнакомый вам сайт запрашивает разрешения на подписание или платежи, откажите и сначала разберитесь. Легитимные клиенты Nostr хорошо известны.

Если сайт ведёт себя неожиданно после выдачи разрешений — например, инициирует платежи, которые вы не запрашивали — немедленно отзовите все его разрешения и снизьте порог автоодобрения.

Только безопасные соединения

Расширение предоставляет API NIP-07 и WebLN только через безопасные (HTTPS) соединения. Это предотвращает атаки «человек посередине» от перехвата связи между сайтом и расширением.

Что дальше?

Когда ваши разрешения настроены, исследуйте WoT Playground для визуализации вашей сети доверия. Или вернитесь к управлению идентичностью для обзора практик безопасности ключей.

Разрешения сайтов