Делегирование доступа
Вы выбираете OAuth-приложение и права WebMoney: кошельки, действия, разрешённые приложения и IPv4. Выдача и расширение чувствительных полномочий защищаются подтверждённым входом (2FA). Затем клиент работает в пределах делегированного доступа, а Gateway проверяет действующий access token, scopes и соответствующие права. На каждый Gateway write не добавляется требование повторять 2FA через 15 или 60 минут. Ограничения прав, выбора кошелька и аргументов сохраняются. Стороннее приложение получает возможность действовать от вашего имени в этих пределах.
Access token и refresh
Access token имеет ограниченный срок. Клиент с поддержкой refresh может обновлять его без нового интерактивного входа, пока это допускают Id, refresh token и предоставленные права. Refresh не расширяет полномочия и не начинает отсчёт исходного 2FA заново. Успешные запросы не доказывают максимальный срок работы в днях. Idle/absolute сроки refresh и точные последствия серверного отзыва зависят от политики Id; неизвестные значения не обещаются как «бессрочно». При отклонённом refresh может потребоваться новый вход.
Отдельная часовая сессия кабинета
Website-сессия действует 60 минут с фиксированным deadline; активность и refresh не продлевают её. Это отдельная цепочка от OAuth-подключения MCP-клиента. Выход из Website не доказывает немедленный отзыв всех клиентских токенов.
Изменение прав через Security требует подтверждённого входа. В текущем режиме Security и W3S SQL согласованы на допустимую давность подтверждения 3600 секунд. При refresh сохраняется исходный auth_time; срок кабинета не задаёт максимальный lifetime делегированного клиента.
Ограничение и отзыв
Проверяйте права кошельков и сообщений, приложения и IPv4 в кабинете. Сократите или отзовите ненужный доступ. OAuth-согласие и внутренние права — разные слои; управляйте нужным слоем. Локальный logout клиента сам по себе не доказывает серверный отзыв.
Мгновенное прекращение каждого уже выданного токена не обещается: результат зависит от проверок и кэширования соответствующего слоя. Не пересылайте токены, secrets, cookies или HAR. Публичный client_id — идентификатор приложения, не секрет.
Подтверждение конкретного действия
confirm_real_operation — защитный аргумент клиента, не пользовательская 2FA и не отдельный экран подтверждения. Проверяйте точные параметры финансового действия до вызова. Делегирование прав не подтверждает конкретный платёж.
ChatGPT/Claude находятся в процессе подготовки. Ограничения будущего профиля должны проверяться сервером на tools/call; скрытия инструментов или удаления только wm.transfers.create недостаточно, поскольку wm.invoices.manage также включает изменения.
Технический справочник · Подключение · FAQ