SIWS + 2FA

オペレーターのログインはサーバー nonce へのウォレット署名（Sign-In With Solana）+ 任意の TOTP 2FA。

公開デプロイでは、ゲートウェイへのオペレーターアクセスは Sign-In With Solana で認証されます：オペレーターのウォレットがサーバー発行の nonce に署名し、パスワードや預託された資格情報なしに所有権を証明します。その上に TOTP 2FA と使い捨てバックアップコードがセッションを守ります。

• どこにもパスワードがない — ウォレット鍵が身元そのものであり、nonce がリプレイを防ぎます。サーバー側にフィッシングや漏洩の対象がありません。
• ウォレットごとの TOTP 登録はゲートウェイの台帳に永続化されるため、2FA は再起動を生き延びます。
• バックアップコードは使い捨て — ログインごとに 1 つ消費され、認証デバイスが使えないときの復旧手段です。
• 適用範囲を正直に — bridge とエンジンのポートは信頼できるホスト / LAN / VPN を前提とした設計。SIWS + 2FA こそが*公開*ドメインを安全に公開できるようにする層です。