Comment connecter Rabby Wallet à une dApp sans approuver les autorisations inutiles ?

Comprendre le modèle d'autorisation de Rabby

1. Le portefeuille Rabby n'accorde pas automatiquement d'autorisations lors de la connexion : chaque demande d'accès doit être explicitement confirmée par l'utilisateur.

2. Lorsqu'une dApp initie une connexion, Rabby affiche un modal indiquant le domaine demandeur, l'étendue du compte demandé et le contexte du réseau (par exemple, Ethereum Mainnet ou BSC Testnet).

3. Le portefeuille fait la distinction entre les actions en lecture seule (comme la récupération du solde) et les opérations de modification d'état (comme la signature de transactions), chacune nécessitant un consentement distinct.

4. Les autorisations sont liées à la session : elles expirent lorsque l'onglet du navigateur est fermé ou lorsque l'utilisateur se déconnecte manuellement via l'interface de Rabby.

5. Rabby applique une validation stricte de l'origine : il rejette les demandes des iframes, les redirections d'origine croisée ou les noms d'hôte qui ne correspondent pas, même si l'URL semble visuellement similaire.

Connexion étape par étape sans autorisation excessive

1. Accédez directement au domaine vérifié de la dApp — ne cliquez jamais sur les liens provenant de DM, d'e-mails ou d'agrégateurs tiers.

2. Cliquez sur « Connecter le portefeuille » et sélectionnez Rabby dans la liste des portefeuilles – assurez-vous qu'aucun autre portefeuille injecté n'est actif dans le même profil de navigateur.

3. Dans la fenêtre contextuelle Rabby, vérifiez que le nom d'hôte exact correspond à celui indiqué dans la barre d'adresse de votre navigateur, y compris le sous-domaine et le TLD.

4. Refusez toute demande intitulée « Approuver tous les jetons », « Allocation illimitée » ou « Accès complet au contrat » à moins que vous n'ayez audité le code de la dApp et que vous en compreniez les implications.

5. Utilisez le bouton d'autorisation intégré de Rabby pour restreindre l'accès uniquement au compte et au réseau spécifiques nécessaires – évitez de sélectionner « Tous les comptes » ou « Tous les réseaux ».

Reconnaître les invites d'autorisation risquées

1. Une invite demandant l’approbation de plus de trois jetons ERC-20 à la fois est très inhabituelle et justifie un rejet immédiat.

2. Toute demande de signature incluant des données hexadécimales brutes sans description lisible par l'homme doit être traitée comme suspecte.

3. Rabby signale les interactions contractuelles non standard avec une icône d'avertissement rouge – n'ignorez pas cela sauf si vous avez validé l'adresse du contrat sur Etherscan ou Blockchair.

4. Si l'invite affiche « Échec de l'estimation du gaz » à côté d'une limite de gaz inhabituellement élevée (> 500 000), cela peut indiquer une tentative de réentrance ou de boucle infinie.

5. Les requêtes provenant de localhost ou 127.0.0.1 sans configuration préalable du développement local doivent être complètement bloquées.

Gestion des connexions actives

1. Ouvrez l'extension Rabby → cliquez sur l'icône d'engrenage → accédez à « Sites connectés » pour afficher tous les domaines actuellement autorisés.

2. Chaque entrée affiche le dernier horodatage utilisé, le réseau et les étendues accordées – révoquez-les avec « Lire + Signer » si seules les vérifications de solde étaient prévues.

3. Rabby prend en charge la révocation des autorisations par site : cliquer sur « Supprimer » supprime tous les accès sans affecter les autres connexions.

4. Le paramètre « Rejeter automatiquement les sites inconnus » peut être activé dans les Préférences de confidentialité pour bloquer silencieusement les tentatives de connexion non autorisées.

5. Les métadonnées du site connecté sont stockées localement dans IndexedDB — aucune journalisation ou télémétrie côté serveur n'est transmise pendant le flux de connexion.

Foire aux questions

Q : Rabby stocke-t-il ma clé privée lorsque je me connecte à une dApp ? Non. Rabby ne transmet ni ne stocke jamais de clés privées sur des serveurs distants. Toutes les opérations cryptographiques se produisent dans le bac à sable du navigateur à l'aide de l'API Web Crypto.

Q : Une dApp peut-elle voir l'historique de mes transactions après ma connexion ? Uniquement si vous approuvez explicitement une demande de récupération des transactions passées via eth_getLogs ou des méthodes RPC similaires – Rabby n'expose pas les données historiques par défaut.

Q : Pourquoi Rabby demande-t-il l'autorisation de « Signer un message » lors de la connexion initiale ? Ceci est utilisé uniquement pour la vérification de la liaison de domaine : le message contient un nom occasionnel signé cryptographiquement lié au nom d'hôte actuel et expire dans les 60 secondes.

Q : Est-il sécuritaire de garder Rabby connecté à plusieurs dApps simultanément ? Oui, à condition que chaque connexion ait été examinée individuellement. Rabby isole les autorisations par origine : aucune dApp n'obtient de visibilité sur les étendues approuvées d'une autre.