不必要な権限を承認せずに Rabby Wallet を dApp に接続する方法は?

Rabby の権限モデルを理解する

1. Rabby ウォレットは接続時に権限を自動的に付与しません。すべてのアクセス要求はユーザーによって明示的に確認される必要があります。

2. dApp が接続を開始すると、Rabby は要求元のドメイン、要求されたアカウントのスコープ、およびネットワーク コンテキスト (イーサリアム メインネットや BSC テストネットなど) を示すモーダルを表示します。

3. ウォレットは、読み取り専用アクション (残高の取得など) と状態変更操作 (トランザクションへの署名など​​) を区別し、それぞれ個別の同意を必要とします。

4. 権限はセッションに依存します。ブラウザのタブを閉じるか、ユーザーが Rabby のインターフェイス経由で手動で切断すると、権限が期限切れになります。

5. Rabby は厳格なオリジン検証を強制します。URL が見た目に似ている場合でも、iframe、クロスオリジン リダイレクト、または不一致のホスト名からのリクエストを拒否します。

過剰な許可を行わない段階的な接続

1. dApp の検証済みドメインに直接移動します。DM、電子メール、またはサードパーティのアグリゲーターからのリンクは決してクリックしないでください。

2. [ウォレットを接続] をクリックし、ウォレット リストから Rabby を選択します。挿入された他のウォレットが同じブラウザ プロファイルでアクティブになっていないことを確認します。

3. Rabby ポップアップで、サブドメインと TLD を含む、正確なホスト名がブラウザのアドレス バーのホスト名と一致することを確認します。

4. dApp のコードを監査してその影響を理解していない限り、「すべてのトークンの承認」、「無制限の許可」、または「完全な契約アクセス」というラベルの付いたリクエストは拒否してください。

5. Rabby の組み込み権限切り替えを使用して、必要な特定のアカウントとネットワークのみへのアクセスを制限します。「すべてのアカウント」または「すべてのネットワーク」を選択することは避けてください。

危険な許可プロンプトの認識

1. 一度に 3 つ以上の ERC-20 トークンの承認を求めるプロンプトは非常に異例であり、直ちに拒否する必要があります。

2. 人間が判読できる説明のない未加工の 16 進データを含む署名リクエストは、疑わしいものとして扱う必要があります。

3. Rabby は、標準外の契約インタラクションに赤い警告アイコンを付けてフラグを立てます。Etherscan または Blockchair で契約アドレスを検証していない限り、これを上書きしないでください。

4. プロンプトに異常に高いガス制限 (>500,000) とともに「ガス推定に失敗しました」と表示される場合は、再入または無限ループの試行を示している可能性があります。

5. 事前にローカル開発セットアップを行わずに localhost または 127.0.0.1 から発信されたリクエストは、完全にブロックされる必要があります。

アクティブな接続の管理

1. Rabby 拡張機能を開き、歯車アイコンをクリックし、「接続済みサイト」に移動して、現在承認されているすべてのドメインを表示します。

2. 各エントリには、最後に使用されたタイムスタンプ、ネットワーク、および付与されたスコープが表示されます。バランス チェックのみが目的の場合は、「読み取り + 署名」を使用していずれかを取り消します。

3. Rabby はサイトごとの権限の取り消しをサポートしています。「削除」をクリックすると、他の接続に影響を与えることなくすべてのアクセスが遮断されます。

4. 「プライバシー設定」で「不明なサイトを自動拒否」設定を有効にすると、不正な接続試行をサイレントにブロックできます。

5. 接続されたサイトのメタデータは IndexedDB にローカルに保存されます。接続フロー中にサーバー側のログやテレメトリは送信されません。

よくある質問

Q: dApp に接続すると、Rabby は秘密キーを保存しますか?いいえ、Rabby は秘密キーを送信したり、リモート サーバーに保存したりすることはありません。すべての暗号化操作は、Web Crypto API を使用してブラウザー サンドボックス内で行われます。

Q: 接続後、dApp で私の取引履歴を確認できますか? eth_getLogs または同様の RPC メソッドを介して過去のトランザクションを取得するリクエストを明示的に承認した場合のみ、Rabby はデフォルトでは履歴データを公開しません。

Q: 最初の接続時に Rabby が「メッセージに署名」の許可を求めるのはなぜですか?これはドメイン バインディングの検証にのみ使用されます。メッセージには、現在のホスト名に関連付けられた暗号化された署名付きノンスが含まれており、60 秒以内に期限切れになります。

Q: Rabby を複数の dApp に同時に接続したままにしても安全ですか?はい、各接続が個別にレビューされた場合に限ります。 Rabby はオリジンごとに権限を分離します。どの dApp も、他の dApp の承認されたスコープを可視化することはありません。