Вход через ВИШ

Другие сайты и приложения могут предложить кнопку «Войти через ВИШ». Тогда вы входите в них своим аккаунтом ВИШ — через Telegram или MAX, как в само приложение, — и не заводите там новый пароль. Приложение получает только то, что вы разрешили, и ничего сверх этого.

Как проходит вход

1. На чужом сайте вы нажимаете «Войти через ВИШ» — открывается страница ВИШ «Вход через ВИШ».
2. Если вы ещё не вошли в ВИШ, страница попросит войти через Telegram или MAX и после входа вернёт вас к запросу.
3. Страница показывает, кто просит доступ: «„Название“ просит доступ к вашему аккаунту ВИШ», сайт приложения и его разработчика, а ниже — список «Приложение получит:». Внизу — под каким аккаунтом вы вошли и ссылка «Не вы? Выйти».
4. «Разрешить» возвращает вас в приложение, и вы уже вошли. «Отказать» тоже возвращает вас туда, но приложение ничего не получает.

Если вы уже разрешили приложению всё, что оно просит, при следующем входе страница сразу вернёт вас обратно, не спрашивая ещё раз.

Что приложение может попросить:

• Узнавать вас при входе — свой номер для этого приложения. Ваш Telegram, MAX и номер телефона приложение не получает, а два разных приложения не могут сопоставить, что это один и тот же человек.
• Имя и фото — имя, фамилию, фото профиля и язык интерфейса.
• Ваша группа — учебную группу, в которой вы состоите.
• Ваша роль — студент, преподаватель или сотрудник.
• Читать ваше расписание — пары, аудитории и изменения, только просмотр.
• Читать заметки к парам — заметки к занятиям, только просмотр.

Писать от вашего имени, менять что-то в ВИШ или читать чужие данные приложение не может, какое бы разрешение ни получило. Права сотрудника или администратора, если они у вас есть, приложению тоже не передаются.

Разрешают сразу всё, что приложение просит, или отказывают: выбрать часть разрешений пока нельзя.

Подключённые приложения

Все приложения, которым вы разрешили вход, собраны в «Настройки» → «Доступ» → «Подключённые приложения» (после входа; адрес /settings/access/apps). У каждого — название, сайт, когда вы его подключили и когда входили последний раз.

«Отключить» сразу закрывает приложению доступ к вашему аккаунту: оно перестаёт получать ваши данные с ближайшего же запроса. Чтобы снова пользоваться им, нужно ещё раз войти через ВИШ и разрешить доступ. Если вы удаляете аккаунт ВИШ, все подключения удаляются вместе с ним.

Если что-то пошло не так

• «Этот запрос на вход выполнить нельзя». Ссылка, по которой вы пришли, неверна, или приложение остановлено. ВИШ в этом случае никуда вас не перенаправляет, чтобы ссылкой нельзя было увести вас на поддельный сайт. Вернитесь в приложение, откуда пришли, и начните вход заново; если повторяется — напишите его разработчику.
• «Вход через ВИШ сейчас выключен». На этом сервере ВИШ вход для других приложений не работает.
• «Откройте вход в отдельном окне». ВИШ не показывает запрос доступа внутри другого сайта, чтобы его нельзя было подменить или нажать за вас. Нажмите «Открыть в новом окне».

Разрешайте доступ только тем приложениям, которые вы сами открыли и которым доверяете.

Для разработчиков

Подключить «Войти через ВИШ» к своему сайту или приложению может владелец действующего API-ключа — как его получить, написано на странице «API и ключи доступа». Приложения регистрируют на странице «Для разработчиков» (адрес /developers), в разделе «Войти через ВИШ — ваши приложения»; без ключа там вместо кнопки «Зарегистрировать приложение» показано «Нужен действующий API-ключ».

При регистрации указывают:

• Название — так приложение увидят люди на странице входа.
• Тип приложения. «Публичное» — сайт в браузере или мобильное приложение: секрета нет, вход защищает PKCE. «Закрытое» — свой сервер, который хранит секрет клиента. Тип после регистрации не меняется.
• Сайт приложения (только https) и, по желанию, адрес логотипа (https, квадратная картинка).
• Адреса возврата — по одному в строке, до 10: только https, либо http на localhost, 127.0.0.1 или [::1] для разработки. Без звёздочек и «#»; адрес сравнивается посимвольно, вместе с портом и путём.
• Что приложение может запрашивать — из списка выше; человеку покажут только то, что приложение действительно запросило.

После регистрации у приложения появляется «Идентификатор клиента» (начинается с vc_). Закрытому приложению сразу показывают секрет клиента (начинается с vcs_) — один раз: ВИШ хранит только его отпечаток. Потерянный или засветившийся секрет заменяют кнопкой «Новый секрет»: старый перестаёт работать сразу. «Удалить» отзывает все выданные приложению токены и разрешения людей, отменить это нельзя. Одному владельцу — до 10 приложений.

На странице есть и «Адрес настройки (OpenID Connect)»: библиотеки входа читают из него все адреса и ключи, поэтому указывайте его вместо отдельных адресов. Протокол — OAuth 2.1 и OpenID Connect, только Authorization Code с PKCE (S256), токены приходят только в ответе на запрос токена и никогда — в адресе страницы. Через API приложение может только читать расписание и заметки к парам, и только с разрешения человека.

Для администраторов

Тот, у кого есть право «Просмотр всех приложений „Войти через ВИШ“, их приостановка и возобновление» (по умолчанию — администратор), видит на странице «Заявки» вкладку «Вход через ВИШ»: все зарегистрированные приложения всех разработчиков. «Остановить» с причиной сразу перестаёт пускать людей в приложение, а его токены и чтение через API отклоняются; причину видит разработчик на своей странице. «Возобновить» снова включает вход, но токены, выданные до остановки, не оживают — людям нужно будет войти заново. Регистрация, изменение, новый секрет, удаление, остановка и возобновление приложений, а также разрешения и их отзыв записываются в журнал аудита.

Проверено: 2026-10, PWA fbb681a8, platform 3474bfa8.