Telegram Erişim Tokeni Açıklandı: Bot Token, API ID, API Hash ve Session İpucu

İnsanlar genellikle bir Telegram erişim simgesi için arama yaparlar. Telegram bir evrensel anahtarı yayınlamış gibi.

Bu fark önemlidir çünkü yetenekler farklı yetkilere sahiptir. Bir bot jetonu bir bot'u kontrol eder. Bir API ID ve API hash bir geliştiricinin uygulamasını tanımlar. Bir giriş kodu bir telefon numarasına geçici erişim kanıtlar. Bir seans dizilisi veya seans dosyası tamamlanmış bir kişisel hesap yetkisi koruyabilir ve bu nedenle başka bir giriş isteksiz hesabına erişim sağlayabilir. Bu değerleri değiştirilebilir olarak değerlendirmek hem yaygın bir uygulama hatası hem de ciddi bir güvenlik riski.

Bu rehber, her bir tanıtımın ne yaptığını, nereden geldiğini ve güvenli bir şekilde nasıl işlediğini açıklar. Ayrıca kişisel hesaplar için bir Telegram CRM veya MCP bağlantısının Bot API entegrasyonu ile aynı şey olmadığını da açıklar.

Bir öğretmen Telegram jetonu istediğinde, bir şey kopyalamadan önce hangi satırı kastettiğini belirleyin.

Bir Telegram bot jetonu bir bot'u Bot API'ye doğruluyor.Resmi bot öğretimigeliştiricilere bir bot oluşturma talimatları verir @BotFather, normalde /newbotBotFather, gibi yöntemleri çağıracakken arka uç kullanan bir token gönderir.getMe- Evet .sendMessageveyasetWebhook- Evet .

Bir bot jetonu genellikle bir kolon ve uzun bir sır ile takip edilen bir sayısal bot kimliği gibidir. Gerçek bir jetonu belgeye, ekran görüntüleri, sohbet mesajlarına, sorun izleyicilerine, istemci taraflı JavaScript'e veya kamu deposu'na yapıştırmayın. Telegram açıkça jetonu bir parola gibi kullanmayı tavsiye eder çünkü sahip olan herkes bot'u kontrol edebilir.

Bot tokenlerinin önemli bir sınırlaması vardır: robot kimliğini doğruluyor, kişisel Telegram kimliğini değil. Botlar sadece bir kişinin mevcut özel posta kutusunu okuyamıyor.bot belgesiAyrıca, botların bir kullanıcı ile bir konuşma başlatamayacağını açıklar; bir kullanıcı bot ile iletişime geçmelidir veya bir gruba eklemesi gerekir.

Bot deneyimi oluştururken bir bot jetonu seçin: komutlar, bildirimler, menüler, destek girişleri, Mini App veya kullanıcıların bilerek bir bot ile etkileşime giren otomatik bir iş akışı.

Kişisel hesap müşterileri, yalnızca HTTP Bot API'ye güvenmek yerine Telegram TM MTProto API'si kullanır. Bir uygulama bir Telegram kullanıcısını yetkilendirmeyi başlatmadan önce, geliştiricisine bir API ID ve API hash gerekir.

TelgraflarBaşvuru kayıtı için resmi talimatlarSüreci açıklayın:

1. Telegram'da kayıtlı aktif bir telefon numarasını kullan.
2. Bu adresle giriş yap .my.telegram.org- Evet .
3. Açık .API geliştirme araçları- Evet .
4. Başvuruyu kaydet.
5. Sonuçları saklayın api_idve api_hashGüvenli bir şekilde.

API ID, sayısal bir uygulama tanımlayıcısıdır. API hash, çiftli sırıdır. Yetkilendirme isteyen yazılımları tanımlar; kendiliğinden yazılımı her Telegram hesabına kaydetmezler. Kullanıcı yetkilendirme akışı hala gereklidir.

GitHub projesi veya örnek uygulamasından API kimliklerini kopyalamayın. Telegram açık kaynak kodundaki örnek API ID'nin kullanıcılara yayınlanan uygulamalar için sınırlı ve uygun olmadığını uyarır. Bir üretim entegrasyonu, işleten organizasyona kayıtlı kimlik kimlikleri kullanmalı ve Telegram'ın API şartlarına uymalıdır.

MTProto istemcisi kişisel bir hesap yetkisi verdiğinde, Telegram normalde mevcut bir Telegram oturumundan veya başka desteklenen bir kanaldan geçici bir giriş kodu gönderir. Hesabın iki adımlı doğrulama etkinleştirildiğinde, Telegram ayrıca hesabın ek şifresini de ister.

Bu değerler, bir geliştiricinin kalıcı olarak saklaması gereken bir API tanıtım belgesi değildir. Kodu, hesabı kontrol eden kişinin giriş onayladığını geçici bir kanıtdır. İki adımlı doğrulama şifresinin hesabın sahibi'nin şifresidir. Yasal bir yetki ekranı neden değer gerekliliğini açıklamalı, güvenli bir şekilde aktarmalı ve kayıtlarda veya analitiklerde kaydetmekten kaçınmalıdır.

Bir kullanıcıya destek olduğunu iddia eden birine hiçbir zaman Telegram giriş kodu gönderme. Hiç bir zaman bir bot sohbeti içine yapıştırma. Bir giriş akışının dışında bir giriş kodu istemek, güçlü bir hesap ele alma uyarısıdır.

MTProto kütüphaneleri başarılı bir yetkilendikten sonra genellikle bir oturumda kalır.

Bu uygulama, uygulama yeniden başlatıldığında kullanıcıların yeni bir giriş kodu girmesini engeller. Bu kolaylık, uygulamayı çok hassas hale getirir. Geçerli bir oturum zaten yetkili bir cihazı temsil edebilir, bu nedenle bu oturum iptal edilene kadar başka bir tarafın hesabı aracılığıyla hareket etmesine izin verebilir.

Bu kuralları kullan:

• Git'e asla oturma.
• Onları asla tarayıcı kodunda veya mobil analizlerde eklemeyin.
• Hesaplama metnin yanında sert kodlanmış bir anahtar değil, yönetilen bir anahtar kullanarak onları dinlenirken şifreleyin.
• Üretim erişimini mümkün olan en küçük hizmet rolüne sınırlandırmak.
• Günlükler ve hata raporlarından yeniden yazın.
• Hesabı koparmanın ve kaydedilen oturumun silinmesinin açık bir yolunu sağlayın.
• Telegram'dan açık bir seans iptal et Ayarlar → Cihazlarekran ve ilgili sırları döndür.

Bir oturum zinciri bir bot jetonunun daha güvenli bir versiyonu değil.

Telegram ayrıca web sitesi ve uygulama girişini destekler Telegram GirişiBu akış, bir Telegram kullanıcısını başka bir uygulamaya doğruluyor ve imzalanmış kimlik bilgileri veya kapsamlı tokenleri gönderir.

Telegram Login'i kullanın, hedefiniz Telegram ile hizmetime giriş yapmaksa. Bot API'si kullanın. Ürününün kişisel hesap özelliklerine gerçekten ihtiyacı olduğunda ve açık bir onay ve güvenlik modeli olduğunda yetkili bir MTProto istemcisini kullanın.

MCP, bir AI istemcisinin bir sunucudan araç ve eylemleri nasıl istediğini açıklar. Telegram kimlik doğrulamalarını değiştirmez.

Örneğin, Entergram kullanıcı tarafından onaylanmış bir yetki akışı yoluyla kişisel Telegram hesaplarını bir çalışma alanına bağlar.Telegram MCP sunucusuBu işlem, bir kullanıcıya bir mesaj göndermek için bir program oluşturur.

Bu ayrım daha güvenli bir mimaridir:

1. Telegram kimlikleri Telegram yetkisi için sorumlu hizmetin içinde kalır.
2. MCP sunucusu dar tanımlanmış işlemleri açığa çıkarır.
3. OAuth ve çalışma alanı izinleri, bu işlemleri hangi kişi veya AI istemcisinin arayabileceğini belirler.
4. Denetim kayıtları, kimlik doğrulama sırlarını kaydetmeden iş eylemlerini kaydeder.
5. İptal, kullanıcıyı, altta yatan tüm Telegram kimliklerini açığa çıkarmak veya döndürmek zorunda bırakmadan MCP istemcisini devre dışı bırakabilir.

Oku Telegram MCP vs Bot APIyetenek farklılıkları için.

Telegram entegrasyonunu göndermeden önce, şu soruları cevaplayın:

• Birleştirme bir bot olarak mı yoksa kişisel bir hesap olarak mı hareket ediyor?
• Ne tür sohbetler ve eylemler gerektirir?
• Kullanıcı özel sohbetleri veya hesapları dışlayabilir mi?
• Yazma eylemleri sadece okuma eylemlerinden ayrı mıdır?

• Bot tokenleri, API hashleri ve seanslar sadece güvenilir sunucularda mı saklanıyor?
• Sırlar, dinlenirken şifrelenir ve transit sırasında korunur mu?
• Üretim yetenekleri kaynak kontrolü ve ön görüş uygulamalarından dışlanmış mıdır?
• Günlükler, izleme sistemleri ve müşteri desteği araçları bunları düzenlemek için yapılandırılmış mıdır?

• Bağlı her hesabın kimliği belirlenebilir bir sahibi var mı?
• Bir yöneticisi diğerlerini etkilemeden bir hesabı bağlayabilir mi?
• Bir AI müşteri veya çalışanı için erişim bağımsız olarak iptal edilebilir mi?
• Özel eylemler aktör, zaman, hesap ve sonuç ile kaydedilmektedir mi?

• Bot token için belgelenmiş bir dönüşüm prosedürü var mı?
• Takım çalıntı bir seansı hızla iptal edebilir mi?
• Hizmet alışılmadık giriş yerleri veya yüksek hacmi eylemleri uyarıyor mu?
• yedek yedeklemeler şifreli mi ve aynı silme politikası altında mı?

**Her tanıklıktan bir işaret.**Bu, mühendislerin yanlış değerleri yanlış alanlara koymasına neden olur ve güvenlik incelemelerini belirsiz hale getirir.TELEGRAM_BOT_TOKEN- Evet .TELEGRAM_API_IDveTELEGRAM_API_HASHDaha netler.TELEGRAM_TOKEN- Evet .

**Ön uç koduna bir bot simgesi koymak.**Bir tarayıcıya teslim edilen her şey kamuoyuna açık olarak kabul edilmelidir.

**API ID ve API hash eşit hesap erişimini varsayarak.**Kullanıcıya hala hesabı onaylamak gerekiyor.

**Bir seansı zararsız bir kas olarak değerlendiriyoruz.**Bir seans, kimlik doğrulama malzemesi.

**İş akışının ihtiyaçlarından daha fazla erişim toplamak.**Bir bildirim botuna kişisel hesap oturumuna gerek yoktur. Raporlama iş akışı mesaj gönderme iznine ihtiyaç duymayabilir. En dar çalışılabilir tasarımla başlayın.

Eğer bir Telegram botı oluşturmak istiyorsanız, BotFather ile oluşturun ve bot tokenini arka uçunuzda kullanın. Kişisel hesaplar için yetkili bir Telegram istemcisi geliştirirseniz, kendi API ID ve API hashinizi kaydedin, ardından Telegram'ın kullanıcı yetki akışını tamamlayın ve sonuçta oturumunu koruyun. Eğer sadece giriş yapmanız gerekiyorsa, posta kutusuna erişimi istemek yerine Telegram Login kullanın.

AI araçlarının onaylanmış kişisel Telegram hesapları ile çalışmasını isteyen ekipler için izin verilen bir Telegram MCP sunucusuHer AI istemcisine çiğ Telegram kimliklerini aktarmaktan kaçınır. Seçtiğiniz yol ne olursa olsun, kimlik doğrulama sırlarını isteklerden, depotslardan, tarayıcı kodundan ve ekran görüntüsünden uzak tutun ve ilk günden itibaren tasarının geri çekilmesini yapın.