La prima volta che apri l’app di trading, Intention chiede al wallet una singola firma con ambito di sessione. Questa pagina spiega che cosa significa quella firma, che cosa non significa e come tenerla sotto controllo.
Perché esiste una firma di sessione
Chi opera sui perpetui immette un gran numero di ordini al minuto. Se il wallet dovesse aprire una finestra di conferma per ogni ordine, l’app sarebbe inutilizzabile. L’app di Intention richiede invece una sola firma su dati tipizzati all’inizio, che lega una chiave di trading di breve durata al tuo conto. Da lì in poi l’app usa quella chiave per firmare localmente i singoli messaggi d’ordine, senza più disturbare il wallet, finché la sessione non scade.
Che cosa concede la firma di sessione
- La possibilità, per l’app, di inviare azioni di trading per tuo conto usando una chiave derivata limitata a un conto, a una scadenza e a un insieme di tipi di azione ben precisi (immettere un ordine, annullare, modificare e simili).
- Nulla di più. La firma non è un’approvazione generalizzata e non è un’allowance su token.
Che cosa NON concede
- Non sposta fondi fuori dal conto. I prelievi verso una catena esterna richiedono ogni volta una firma separata ed esplicita.
- Non cambia le impostazioni di sicurezza del conto. Non può aggiungere un nuovo firmatario, ruotare chiavi o delegare autorità oltre l’insieme di azioni previsto.
- Non sopravvive alla propria scadenza. Una volta raggiunto il termine della sessione, la chiave derivata non è più valida on-chain e l’app chiederà una firma nuova.
Come ispezionare una richiesta di firma
Ogni wallet moderno mostra il payload di dati tipizzati prima che tu firmi. Leggilo. Il payload che Intention richiede indica il conto che stai autorizzando, il timestamp di scadenza e il dominio intention.xyz. Se una richiesta di firma dichiara di venire da Intention ma mostra un dominio diverso, un conto diverso o una scadenza molto lontana nel tempo, rifiutala e segnala a contact@intention.xyz la pagina che l’ha chiesta.
Non approvare mai una firma su dati tipizzati che non riesci a leggere e capire. «Firma qui per verificare il wallet» è il pattern di phishing più diffuso dell’intero settore. Intention non ti chiederà mai di firmare un vago messaggio di «verifica».
Revocare una sessione
Puoi chiudere una sessione in tre modi.
- Dall’interno dell’app. Apri il menu del conto e scegli l’opzione per disconnettere o per revocare la sessione attiva. L’app elimina la chiave di breve durata dal tuo dispositivo e la chiave di sessione smette di essere accettata on-chain non appena la revoca viene osservata.
- Dal wallet. Disconnetti il sito dall’elenco dei siti connessi del wallet. L’app non potrà più richiedere una firma nuova alla tua prossima visita.
- Aspettando. Le sessioni hanno comunque una scadenza. Una volta passata, la chiave diventa inutile a prescindere da qualsiasi altra cosa tu abbia fatto.
Che cosa succede quando la sessione scade
Gli ordini immessi durante la sessione scaduta e non ancora eseguiti restano validi in book: sono stati firmati mentre la sessione era attiva e il protocollo li ha già registrati. I nuovi ordini falliranno finché non firmerai una nuova sessione. È voluto: la scadenza non può annullare retroattivamente un lavoro già confermato. 
