Токен Telegram-бота: где получить и как хранить безопасно

Токен Telegram-бота — строка, по которой Telegram узнаёт, что запросы к Bot API отправляет именно ваш бот. Он выглядит как числовой идентификатор бота, двоеточие и длинная последовательность букв и цифр. Любой, у кого есть токен, может от имени бота отправлять сообщения, читать входящие, менять вебхук и фактически перехватить работу бота. Поэтому обращаться с токеном нужно как с паролем от банковского счёта.

Как получить токен

Токен выдаёт официальный бот Telegram — @BotFather. При создании нового бота командой /newbot нужно указать имя и уникальный юзернейм, который заканчивается на «bot». После этого BotFather присылает токен. Для существующего бота токен можно посмотреть в разделе /mybots, выбрав бота и пункт с API-токеном.

Проверяйте, что общаетесь именно с официальным @BotFather с отметкой верификации: мошенники создают похожие аккаунты, чтобы выманить токены.

Где хранить

• В переменных окружения на сервере, где работает бот
• В менеджере секретов, если он используется в компании
• В защищённом хранилище паролей для доступа сотрудников

Где не хранить: в коде программы, в репозитории, в общих чатах, в документах с открытым доступом, в скриншотах. Частая утечка — токен, записанный в код и загруженный в публичный репозиторий. Боты, которые ищут такие токены, работают постоянно.

Токен не должен появляться и в журналах программы. Некоторые библиотеки и HTTP-клиенты при ошибке записывают полный адрес запроса, а токен входит в адрес запроса к Bot API. Проверьте настройки журналирования и не пересылайте журналы в открытые чаты.

Кому передавать

Разработчику токен нужен для работы, но лучше давать ему токен тестового бота, а рабочий токен устанавливать на сервер самостоятельно или через ответственного сотрудника. Если подрядчик разворачивает бота на своём сервере, зафиксируйте в договоре, что аккаунт владельца бота принадлежит компании, а при завершении работ токен перевыпускается.

Аккаунт владельца важнее токена

Токен можно перевыпустить, только имея доступ к аккаунту, который создал бота. Поэтому бот должен быть создан на аккаунте компании или руководителя, а не на личном аккаунте разработчика или менеджера, который может уволиться. На этом аккаунте стоит включить двухэтапную аутентификацию с облачным паролем.

Что делать при утечке

1. Откройте @BotFather, выберите бота и перевыпустите токен командой /revoke или через меню
2. Старый токен сразу перестаёт работать
3. Установите новый токен на сервер и перезапустите бота
4. Проверьте настройки бота: описание, команды, вебхук, кнопку меню — не изменил ли их кто-то
5. Выясните, как произошла утечка, и закройте источник

После перевыпуска токена бот перестанет работать до тех пор, пока новый токен не будет установлен, поэтому действуйте быстро, но последовательно.

Признаки, что токеном пользуется кто-то ещё

Бот отправляет сообщения, которых вы не программировали. Перестали приходить обновления, потому что кто-то установил свой вебхук. Изменились описание или аватар бота. В журналах сервера появились ошибки конфликта при получении обновлений. Любой из этих признаков — повод перевыпустить токен.

Для проверки удобно вызвать метод получения информации о вебхуке: он покажет, какой адрес сейчас установлен и были ли ошибки доставки. Если адрес чужой, токен точно скомпрометирован.

Правила для компании

Ведите учёт ботов: какой бот, на каком аккаунте создан, где работает, кто отвечает. Перевыпускайте токены при уходе разработчиков или подрядчиков, имевших к ним доступ. Не используйте один и тот же бот для тестирования и работы с клиентами. Эти правила занимают минимум времени, но защищают от неприятных ситуаций.