commit - 5706c96fbb92a9ece9bac92e25b553b3925aedf1
commit + 3ed57848e51fe3bc22e8f2a6c074a5f709f6bc90
blob - c1d3b0451bc3b310e7bc9acf249f67a23471c467
blob + 357b728f288aac33ef66aaae0de120322755eaf5
--- capsule/vostok/lonk.gmi
+++ capsule/vostok/lonk.gmi
@@ -41,6 +41,31 @@ ssh://anonymous@got.any-key.press/lonk
 
 Если у вас нет honk аккаунта, но вы хотели бы попробовать, то пишите мне на электронную почту, указав желаемое имя пользователя. После получения обратного письма с данными регистрации нового пользователя вы сможете воспользоваться как "родным" HTTPS-клиентом honk, так и моим экземпляром lonk.
 
+## Вопрос-ответ
+
+### Клиентский сертификат
+
+> Я открываю ссылку gemini://any-key.press/vgi/lonk, а там от меня требуют клиентский сертификат. Выглядит это как-то так:
+> 
+> SERVER SAYS:  Certificate required
+> The site any-key.press is requesting a client certificate.
+> This will allow the site to recognise you across requests.
+> 
+> Что это? Зачем это?
+
+Серверная часть должна аутентифицировать клиента honk. В протоколе Gemini нет, например, cookie, которые сохраняют сеанс аутентификации в HTTP. Вместо этого Gemini сервер может идентифицировать запросы от одного и того же клиента по клиентскому сертификату. Выполняя обычные запросы ваш Gemini клиент (скорее всего) не предоставляет клиентский сертификат, что бы, помимо прочего, не дать серверу возможность вас отследить. Такие запросы со стороны клиента можно условно назвать анонимными (хотя стоит держать в голове, что сервер, как минимум, знает IP адрес и URL, с которыми вы пришли). Но как только серверу становится необходимо идентифицировать пользователя он отдаёт специальный ответ, который сообщает клиенту, что дальнейшее взаимодействие возможно только с сертификатом со стороны клиента. Именно это требование вы и видите в своём Gemini клиенте.
+
+После успешного получения сертификата нового клиента lonk будет последовательно запрашивать:
+* URL сервера honk (для моего экземпляра это https://honk.any-key.press/);
+* имя honk пользователя (для моего личного аккаунта это continue);
+* пароль honk пользователя.
+
+После успешной аутентификации на honk сервере lonk получит в ответ токет и сохранит его в базу данных вместе с URL сервера honk (имя пользователя и пароль от honk больше не нужны, lonk их не хранит). В следующий раз, когда вы откроете ссылку gemini://any-key.press/vgi/lonk с уже аутентифицированным lonk'ом клиентским сертификатом, не нужно будет передавать никаких дополнительных чувствительных данных (логин/пароль).
+
+Ссылки по теме:
+=> gemini://geminiprotocol.net/docs/faq.gmi Project Gemini FAQ (4.5.1 How can you say Gemini is simple if it uses TLS?)
+=> gemini://geminiprotocol.net/docs/ru/faq.gmi Часто задаваемые вопросы о проекте Gemini (2.7 Как можно говорить о том, что Gemini простой, если в нём используется TLS?)
+
 ## Обратная связь
 
 Вопросы, предложения и тому подобное вы можете: