Por lo tanto, quiero hacer una página web, donde solo debe iniciar sesión con metamask.

He visto que cryptokitties.co hizo un muy buen trabajo, ni siquiera solicitó una contraseña.

Lo único que requieren es una firma tuya. Pero aquí está lo que no entiendo: ¿Qué firmas, que estás protegido de una repetición de firma? ¿O están protegidos de una repetición de firma en primer lugar?

Lo que pensé hasta ahora (pero no funcionó):

• Usando un nonce -> ¿Qué sucede si el cliente borra localhost?
• Usando el tiempo -> Hay diferentes zonas horarias y tomando UTC -> Uno puede enviar las dos solicitudes casi instantáneamente una tras otra.

Sin embargo, si invalido el hash firmado del tiempo en el lado del servidor y no acepto un segundo intento, ¿sería una buena práctica?