🔒 Приватные ключи в TMA — кто за них должен отвечать

Ребят, вопрос жёсткий, и ответ на него влияет на весь архитектуру вашего приложения. Если хранить ключи на устройстве пользователя — он может их потерять. Если на сервере — вы несёте риск взлома.

Оптимальный подход, который я вижу у лучших TMA:
👉 приватный ключ генерируется локально один раз при регистрации
👉 юзер получает мнемоник, но не обязан его сохранять
👉 транзакции подписываются на клиенте, на сервере только уведомления
👉 восстановление через социальный граф Telegram — юзер авторизуется через неё же

Это не очень удобно для массовой аудитории, зато честно с точки зрения безопасности. Вопрос: вы готовы пожертвовать удобством ради честности, или будете искать компромиссы?

➖➖➖➖➖➖➖➖➖➖
Антон Хоменок про Telegram Mini Apps 📲