Вход в Finmind через Google или Telegram

Отдельный пароль для каждого сервиса не нужен. Можно входить через аккаунт Google или аккаунт Telegram, вместе с почтой и паролем или вместо них. Это руководство идёт дальше основ: что происходит при первом нажатии каждой кнопки, как платформа определяет, чей это аккаунт, как привязать и удалить несколько способов входа и почему некоторые запросы отклоняются намеренно.

Общая картина защиты, включая двухфакторную аутентификацию и резервные коды, описана в статье о безопасности аккаунта Finmind.

Что Finmind получает от каждого провайдера

От Google приходит подписанный токен с вашим постоянным идентификатором, адресом почты и именем. Чтобы узнавать вас в дальнейшем, используется постоянный идентификатор, а не адрес, потому что адрес почты может перейти к другому человеку. Адрес, сообщённый при привязке, хранится только для поддержки.

От Telegram приходят ваш числовой идентификатор пользователя, имя и имя пользователя. Адрес почты этот мессенджер не передаёт. На сайте кнопка открывает его собственное окно входа, и подпись в ответе проверяется, прежде чем ему доверять.

Ни один провайдер не передаёт платформе ваш пароль, и она не может читать вашу почту или чаты.

Первый вход через Google

На странице входа или регистрации нажмите кнопку Google и выберите аккаунт. Дальше всё зависит от того, знакомы ли вы уже платформе:

• Этот аккаунт Google уже привязан: вы входите.
• Аккаунта Finmind с таким адресом нет: создаётся новый, с вашим именем из профиля. При регистрации страница просит подтвердить, что вам исполнилось 18 лет, и принять условия. Если нажать кнопку до отметки, появится «Отметьте оба пункта, затем снова нажмите кнопку Google или Telegram.»
• Аккаунт Finmind с таким адресом уже есть: вход привязывается к нему, только если провайдер является настоящим владельцем адреса, то есть это адрес Gmail или корпоративный адрес на его платформе. Адрес, который провайдер когда-то подтвердил, но не контролирует, не может сам привязаться к существующему аккаунту.

Последнее правило защищает от известного приёма. Кто-то может заранее зарегистрировать аккаунт на ваш адрес и ждать. Когда вы затем входите и доказываете, что адрес ваш, платформа обеспечивает, чтобы полный контроль получили именно вы, доказанный владелец: у аккаунта, адрес которого так и не был подтверждён, удаляются пароль, способы входа и двухфакторные настройки другого человека, а все его сессии завершаются.

Первый вход через Telegram

Нажмите Войти через Telegram или, на странице регистрации, Зарегистрироваться через Telegram и подтвердите запрос в мессенджере.

• Этот аккаунт Telegram уже привязан как способ входа: вы входите.
• Он новый для платформы: мессенджер подтверждает, кто вы, и страница просит адрес почты для нового аккаунта. Адрес сначала не подтверждён, вы подтверждаете его кодом, потому что туда приходят уведомления о входе и сообщения об аккаунте.
• Для введённого адреса уже есть аккаунт Finmind: регистрация отклоняется, и вам предлагают войти с паролем. Такая регистрация никогда сама не привязывается к существующему аккаунту Finmind.

Есть ещё один случай. Если ваш чат подключён к боту только для уведомлений, эта связь сама по себе не даёт входа на сайт. Войдите с паролем или другим способом, затем сделайте его способом входа в настройках. О самом боте и Mini App рассказывает статья как пользоваться ботом Finmind в Telegram и Mini App.

Двухфакторная аутентификация продолжает действовать

Вход через Google или Telegram не обходит второй фактор. Если двухфакторная аутентификация включена, после подтверждения провайдером запрашивается код.

Для мессенджера есть дополнительная защита: вход через него никогда не принимает в качестве второго фактора код, пришедший туда же. Если ваш способ двухфакторной защиты это коды в мессенджере, при таком входе вместо них запрашивается пароль или резервный код. Иначе один украденный аккаунт стал бы обоими вашими факторами.

Привязка дополнительных способов входа в настройках

Откройте Настройки и найдите Способы входа. Там перечислены все пути внутрь: Пароль, Одноразовый код на почту (с указанием, доступен ли он на сервере) и каждый привязанный внешний аккаунт. OneID тоже есть в списке с пометкой Пока недоступно, пока не подписан договор с государственным оператором.

Чтобы добавить способ:

1. Нажмите Привязать ещё один аккаунт Google или Telegram или кнопку привязки нужного провайдера.
2. Выберите нужный аккаунт в открывшемся окне. Чтобы добавить не тот аккаунт, в который вы сейчас вошли, переключите аккаунт в этом окне.
3. Подтвердите, что это вы, и нажмите Привязать Google или Привязать Telegram.

Подтверждение означает текущий пароль, если он есть, второй фактор, если включена двухфакторная аутентификация, а без того и другого вход не позднее 10 минут назад. Это не даёт человеку, ненадолго получившему открытую сессию браузера, добавить свой внешний аккаунт как путь внутрь.

Можно привязать несколько аккаунтов каждого провайдера, например личный и рабочий Gmail, по умолчанию до пяти на провайдера. Каждый внешний аккаунт может принадлежать только одному аккаунту Finmind. Чтобы различать их, дайте каждому Название, например «Рабочий Gmail», через Переименовать. Подтверждение для этого не нужно.

О каждой привязке и удалении вам сообщают по почте (или во внутренних уведомлениях) и в мессенджере, если он подключён, поэтому неожиданное изменение сразу заметно.

Удаление способа входа

Нажмите Удалить Google или Удалить Telegram рядом с записью и подтвердите, что это вы. Происходят две вещи:

• все остальные сессии завершаются, потому что невозможно определить, какие сессии открыл этот способ;
• если удаляемый аккаунт одновременно является вашим чатом с ботом, чат отключается в том же шаге. Тогда кнопка называется Удалить Telegram и отключить чат, а окно предупреждает, что уведомления, счета Telegram Stars, вход в Mini App через этот чат и двухфакторные коды в Telegram прекратятся.

Удалить последний способ входа нельзя. Если внешний аккаунт ваш единственный способ входа, вы увидите: «Это единственный способ входа в ваш аккаунт Finmind. Сначала задайте пароль в настройках или привяжите другой способ.» Чат уведомлений при этой проверке не считается способом входа, потому что в Mini App нельзя задать пароль или привязать другой способ.

Эта статья носит образовательный характер и не является инвестиционной рекомендацией. Инвестиции в ценные бумаги связаны с риском, в том числе с потерей вложенных денег.