Telegram Erişim Tokeni Açıklandı: Bot Token, API ID, API Hash ve Session String

İnsanlar çoğu zaman "Telegram erişim tokeni" diye arama yapar; sanki Telegram herkese tek bir evrensel anahtar veriyormuş gibi. Vermiyor. Telegram'ın birkaç ayrı kimlik doğrulama sistemi var ve doğru kimlik bilgisi, yazılımınızın bir botu mu kontrol ettiğine, kişisel bir hesabı mı yetkilendirdiğine, bir kullanıcıyı bir web sitesine mi giriş yaptırdığına yoksa zaten yetkilendirilmiş bir istemciyi mi yeniden bağladığına göre değişir.

Bu ayrım önemli, çünkü kimlik bilgilerinin yetkileri farklıdır. Bir bot tokeni tek bir botu kontrol eder. API ID ve API hash bir geliştirici uygulamasını tanımlar. Giriş kodu, bir telefon numarasına geçici erişimi kanıtlar. Bir session string veya session dosyası, tamamlanmış bir kişisel hesap yetkilendirmesini saklayabilir ve bu yüzden yeni bir giriş istemi olmadan hesaba erişim sağlayabilir. Bu değerleri birbirinin yerine kullanılabilir saymak hem yaygın bir uygulama hatası hem de ciddi bir güvenlik riskidir.

Bu rehber her kimlik bilgisinin ne işe yaradığını, nereden geldiğini ve nasıl güvenle ele alınacağını anlatıyor. Ayrıca kişisel hesaplar için bir Telegram CRM ya da MCP bağlantısının neden bir Bot API entegrasyonuyla aynı şey olmadığını açıklıyor.

Bir eğitim içeriği sizden "Telegram tokeni" istiyorsa, bir şey kopyalamadan önce durun ve hangi satırı kastettiğini belirleyin.

Bir Telegram bot tokeni, bir botu Bot API karşısında doğrular. Telegram'ın resmi bot eğitimi, geliştiricilere botu @BotFather üzerinden, genellikle /newbot komutuyla oluşturmalarını söyler. BotFather bir token döndürür; arka uç getMe, sendMessage veya setWebhook gibi yöntemleri çağırırken bu tokeni kullanır.

Bir bot tokeni genellikle sayısal bir bot kimliği, ardından iki nokta üst üste ve uzun bir gizli değerden oluşur. Gerçek bir tokeni belgelere, ekran görüntülerine, sohbet mesajlarına, sorun takip sistemlerine, istemci tarafı JavaScript'e veya herkese açık bir depoya yapıştırmayın. Telegram, tokene bir parola gibi davranılmasını açıkça önerir, çünkü ona sahip olan herkes botu kontrol edebilir.

Bot tokenlerinin önemli bir sınırı var: kişisel Telegram kimliğinizi değil, botun kimliğini doğrularlar. Botlar bir kişinin mevcut özel gelen kutusunu okuyamaz. Telegram'ın bot belgeleri ayrıca botların bir kullanıcıyla konuşma başlatamayacağını açıklar; kullanıcının bota yazması ya da onu bir gruba eklemesi gerekir. Gruplarda gizlilik ayarları, botun hangi mesajları alacağını ayrıca sınırlayabilir.

Bir bot deneyimi kuruyorsanız bot tokenini seçin: komutlar, bildirimler, menüler, destek talebi toplama, bir Mini App veya kullanıcıların bilerek bir botla etkileşime girdiği otomatik bir iş akışı.

Kişisel hesap istemcileri yalnızca HTTP Bot API'ye dayanmak yerine Telegram'ın MTProto API'sini kullanır. Bir uygulamanın bir Telegram kullanıcısını yetkilendirebilmesi için geliştiricisinin önce bir API ID ve API hash edinmesi gerekir.

Telegram'ın resmi uygulama kaydı talimatları süreci şöyle anlatır:

1. Telegram'a kayıtlı, aktif bir telefon numarası kullanın.
2. my.telegram.org adresinde oturum açın.
3. API development tools bölümünü açın.
4. Uygulamayı kaydedin.
5. Ortaya çıkan api_id ve api_hash değerlerini güvenle saklayın.

API ID sayısal bir uygulama tanımlayıcısıdır. API hash ise onunla eşleşen gizli değerdir. Bu ikisi yetkilendirme isteyen yazılımı tanımlar; yazılımı kendi başlarına her Telegram hesabına giriş yaptırmazlar. Yine de bir kullanıcı yetkilendirme akışı gerekir.

API kimlik bilgilerini rastgele bir GitHub projesinden veya örnek uygulamadan kopyalamayın. Telegram, açık kaynak kodundaki örnek API ID'nin sınırlı olduğunu ve kullanıcılara yayımlanan uygulamalar için uygun olmadığını belirtir. Bir üretim entegrasyonu, onu işleten kuruluşa kayıtlı kimlik bilgilerini kullanmalı ve Telegram'ın API koşullarına uymalıdır.

Bir MTProto istemcisi kişisel bir hesabı yetkilendirdiğinde Telegram genellikle mevcut bir Telegram oturumu veya desteklenen başka bir kanal üzerinden geçici bir giriş kodu gönderir. Hesapta iki adımlı doğrulama açıksa Telegram ayrıca hesabın ek parolasını da ister.

Bu değerlerin hiçbiri, bir geliştiricinin kalıcı olarak saklaması gereken bir API kimlik bilgisi değildir. Kod, hesabı kontrol eden kişinin girişi onayladığına dair geçici bir kanıttır. İki adımlı doğrulama parolası ise hesap sahibinin parolasıdır. Meşru bir yetkilendirme ekranı değerin neden gerektiğini açıklamalı, onu güvenli biçimde iletmeli ve kayıtlara veya analitiğe yazmaktan kaçınmalıdır.

Destek ekibinden olduğunu söyleyen birine asla Telegram giriş kodu göndermeyin. Bir bot sohbetine asla yapıştırmayın. Bir giriş akışının dışında giriş kodu istenmesi, güçlü bir hesap ele geçirme uyarısıdır.

Başarılı bir yetkilendirmeden sonra MTProto kütüphaneleri genellikle oturumu kalıcı hale getirir. Kütüphaneye göre bu oturum yerel bir veritabanı dosyasında, şifrelenmiş bir kayıtta veya taşınabilir bir metin dizesinde (string) saklanabilir.

Oturum, uygulama her yeniden başladığında kullanıcının yeni bir giriş kodu girmesini gereksiz kılar. Bu kolaylık onu son derece hassas yapar. Geçerli bir oturum zaten yetkilendirilmiş bir cihazı temsil edebilir; bu yüzden açığa çıkması, oturum iptal edilene kadar başka birinin hesap üzerinden işlem yapmasına izin verebilir.

Şu kuralları uygulayın:

• Oturumları asla Git'e commit etmeyin.
• Onları asla tarayıcı koduna veya mobil analitiğe koymayın.
• Onları, şifreli metnin yanına sabit yazılmış bir anahtarla değil, yönetilen bir anahtarla bekleme halindeyken şifreleyin.
• Üretim erişimini mümkün olan en dar hizmet rolüyle sınırlayın.
• Onları günlüklerden ve hata raporlarından maskeleyin.
• Hesabın bağlantısını kesmek ve saklanan oturumu silmek için açık bir yol sunun.
• Açığa çıkmış bir oturumu Telegram'ın Ayarlar → Cihazlar ekranından iptal edin ve ilgili gizli değerleri yenileyin.

Bir session string, bot tokeninin daha güvenli bir sürümü değildir. Potansiyel olarak daha geniş erişim veren, farklı bir kimlik bilgisidir.

Telegram, Telegram Login üzerinden, bir OpenID Connect akışı da dahil olmak üzere, web sitesi ve uygulama girişini de destekler. Bu akış bir Telegram kullanıcısını başka bir uygulamaya doğrular ve imzalı kimlik bilgileri veya kapsamlı tokenler döndürür. Kullanıcının kişisel Telegram gelen kutusunu okuma iznini otomatik olarak vermez.

Amaç "hizmetime Telegram ile giriş yapmak" ise Telegram Login'i kullanın. Bir bot için Bot API'yi kullanın. Ürün gerçekten kişisel hesap yeteneklerine ihtiyaç duyuyorsa ve net bir onay ve güvenlik modeli varsa yetkili bir MTProto istemcisi kullanın.

MCP, bir yapay zekâ istemcisinin bir sunucudan araç ve eylemleri nasıl talep ettiğini tanımlar. Telegram kimlik doğrulamasının yerini almaz. Bir Telegram MCP sunucusunun arkasında yine yetkilendirilmiş bir Telegram katmanı bulunması gerekir.

Örneğin Entergram, kişisel Telegram hesaplarını kullanıcının onayladığı bir yetkilendirme akışıyla bir çalışma alanına bağlar. Barındırılan Telegram MCP sunucusu ardından tanımlı CRM ve mesajlaşma araçlarını onaylanmış bir MCP istemcisine açar. Yapay zekâ istemcisi araç erişimi alır; ham Telegram giriş kodlarını, API hash değerlerini veya yeniden kullanılabilir hesap oturumlarını almamalıdır.

Bu ayrım daha güvenli bir mimaridir:

1. Telegram kimlik bilgileri, Telegram yetkilendirmesinden sorumlu hizmetin içinde kalır.
2. MCP sunucusu dar tanımlanmış işlemleri açar.
3. OAuth ve çalışma alanı izinleri, bu işlemleri hangi kişinin veya yapay zekâ istemcisinin çağırabileceğini belirler.
4. Denetim kayıtları, kimlik doğrulama sırlarını kaydetmeden iş eylemlerini kaydeder.
5. İptal işlemi, kullanıcıyı alttaki her Telegram kimlik bilgisini açığa çıkarmaya veya yenilemeye zorlamadan MCP istemcisini devre dışı bırakabilir.

Yetenek farkları için Telegram MCP ile Bot API karşılaştırmasını okuyun.

Herhangi bir Telegram entegrasyonunu yayına almadan önce şu soruları yanıtlayın:

• Entegrasyon bir bot olarak mı, yoksa kişisel bir hesap olarak mı çalışıyor?
• Gerçekte hangi sohbetlere ve eylemlere ihtiyaç duyuyor?
• Kullanıcı özel konuşmaları veya hesapları hariç tutabiliyor mu?
• Yazma eylemleri salt okuma eylemlerinden ayrılmış mı?

• Bot tokenleri, API hash değerleri ve oturumlar yalnızca güvenilir sunucularda mı saklanıyor?
• Gizli değerler bekleme halindeyken şifreleniyor ve aktarım sırasında korunuyor mu?
• Üretim kimlik bilgileri kaynak kontrolünün ve önizleme dağıtımlarının dışında tutuluyor mu?
• Günlükler, izleme sistemleri ve müşteri destek araçları bunları maskeleyecek şekilde yapılandırılmış mı?

• Bağlı her hesabın tanımlanabilir bir sahibi var mı?
• Bir yönetici, diğerlerini etkilemeden tek bir hesabın bağlantısını kesebiliyor mu?
• Tek bir yapay zekâ istemcisinin veya çalışanın erişimi bağımsız olarak iptal edilebiliyor mu?
• Ayrıcalıklı eylemler; kişi, zaman, hesap ve sonuçla birlikte kaydediliyor mu?

• Bir bot tokeni için belgelenmiş bir yenileme prosedürü var mı?
• Ekip çalınmış bir oturumu hızla geçersiz kılabiliyor mu?
• Hizmetiniz olağan dışı giriş konumları veya yüksek hacimli eylemler için uyarı veriyor mu?
• Yedekler şifreli mi ve aynı silme politikasına tabi mi?

Her kimlik bilgisine token demek. Bu, mühendislerin yanlış değeri yanlış alana koymasına yol açar ve güvenlik incelemelerini belirsizleştirir. Yapılandırma değişkenlerini kesin adlandırın: TELEGRAM_BOT_TOKEN, TELEGRAM_API_ID ve TELEGRAM_API_HASH, TELEGRAM_TOKEN adından daha açıktır.

Bot tokenini ön uç koduna koymak. Tarayıcıya teslim edilen her şey herkese açık kabul edilmelidir. Bot API çağrılarını korumalı bir arka uç üzerinden yönlendirin.

API ID ve API hash'in hesap erişimi anlamına geldiğini varsaymak. Bunlar uygulamayı tanımlar. Kullanıcının yine de hesabı yetkilendirmesi gerekir.

Bir oturumu zararsız bir önbellek gibi görmek. Oturum, kimlik doğrulama malzemesidir. Onu bir kimlik bilgisi gibi koruyun ve iptal edilebilir yapın.

İş akışının ihtiyacından fazla erişim toplamak. Bir bildirim botunun kişisel hesap oturumuna ihtiyacı yoktur. Bir raporlama iş akışı mesaj gönderme iznine ihtiyaç duymayabilir. Çalışabilecek en dar tasarımla başlayın.

Bir Telegram botu kurmak istiyorsanız onu BotFather ile oluşturun ve bot tokenini arka ucunuzda kullanın. Kişisel hesaplar için yetkili bir Telegram istemcisi geliştiriyorsanız kendi API ID ve API hash değerlerinizi kaydedin, ardından Telegram'ın kullanıcı yetkilendirme akışını tamamlayın ve ortaya çıkan oturumu koruyun. Yalnızca girişe ihtiyacınız varsa gelen kutusu erişimi istemek yerine Telegram Login kullanın.

Yapay zekâ araçlarının onaylanmış kişisel Telegram hesaplarıyla çalışmasını isteyen ekipler için izin tabanlı bir Telegram MCP sunucusu, ham Telegram kimlik bilgilerini her yapay zekâ istemcisine aktarmaktan kaçınır. Hangi yolu seçerseniz seçin, kimlik doğrulama sırlarını istemlerden, depolardan, tarayıcı kodundan ve ekran görüntülerinden uzak tutun ve iptal edilebilirliği ilk günden tasarımın parçası yapın.