Telegram-bot tokeni: qayerdan olinadi va qanday xavfsiz saqlanadi

Telegram-bot tokeni — botni boshqarish uchun maxfiy kalit. Bot API’ga har bir so‘rov shu token bilan yuboriladi. Tokenni bilgan har qanday odam bot nomidan xabar yuborishi, kelayotgan xabarlarni o‘qishi va bot sozlamalarini ishlatishi mumkin. Shuning uchun unga parol kabi munosabatda bo‘ling.

Token qanday ko‘rinadi

Token ikki qismdan iborat: raqamlar (bot identifikatori), ikki nuqta va harf-raqamlardan iborat uzun qator. Birinchi qism maxfiy emas, ikkinchisi — maxfiy.

Tokenni qanday olish

1. Telegramda rasmiy @BotFather botini oching
2. /newbot buyrug‘ini yuboring
3. Bot nomini va «bot» bilan tugaydigan foydalanuvchi nomini kiriting
4. BotFather token bilan xabar yuboradi

Mavjud bot tokenini BotFather’da /mybots orqali bot sozlamalarida ko‘rish mumkin.

Tokenni yangilash

Agar token oshkor bo‘lgan bo‘lsa yoki pudratchi bilan ish tugagan bo‘lsa, BotFather’da tokenni bekor qilib, yangisini yarating (/revoke buyrug‘i yoki bot sozlamalaridagi API Token bo‘limi). Eski token darhol ishlamay qoladi. Shundan keyin yangi tokenni serverdagi sozlamalarga kiriting — aks holda bot to‘xtaydi.

Qayerda saqlash kerak

To‘g‘ri:

• serverdagi muhit o‘zgaruvchilarida;
• repozitoriyga kiritilmaydigan .env faylida;
• bulut platformasining maxfiy ma’lumotlar saqlash vositasida;
• kompaniyaning parol menejerida — zaxira sifatida.

Noto‘g‘ri:

• dastur kodining o‘zida;
• ochiq yoki hatto yopiq Git repozitoriysida;
• messenjer chatlarida va pochtada;
• saytning frontend kodida yoki mini ilova JavaScript’ida — u yerda har kim ko‘ra oladi.

Kodda tasodifan qolgan bo‘lsa

Repozitoriydan faylni o‘chirish yetarli emas — token commit tarixida qoladi. Yagona ishonchli yo‘l: tokenni darhol yangilash va keyin tarixni tozalash. Kelajakda bunday holatning oldini olish uchun .env faylini .gitignore’ga qo‘shing va repozitoriylarni maxfiy kalitlarga avtomatik tekshirish vositalarini yoqing.

Pudratchiga token berish

Botni tashqi dasturchi ishlab chiqsa:

• bot kompaniya xodimi akkauntida yaratilsin, dasturchinikida emas;
• dasturchiga sinov boti tokeni berilsin, ishchi bot tokeni esa faqat serverda;
• ish tugagach token yangilansin.

Bot egasi — uni BotFather’da yaratgan akkaunt. Agar bot dasturchi akkauntida yaratilgan bo‘lsa, egalikni kompaniyaga o‘tkazishni rejalashtiring.

Token oshkor bo‘lsa nima qilish

1. Tokenni BotFather’da darhol yangilash
2. Serverdagi sozlamalarni yangilash va botni qayta ishga tushirish
3. Vebhuk manzilini tekshirish — u begona serverga o‘zgartirilmaganmi
4. Bot tavsifi, buyruqlar va profil o‘zgarmaganmi — tekshirish
5. Tokenga kimlar kirishga ega bo‘lganini aniqlash va saqlash tartibini o‘zgartirish

Bir nechta muhit

Ishlab chiqish, sinov va ishchi muhit uchun alohida botlar va tokenlar. Shunda dasturchi sinov paytida haqiqiy mijozlarga xabar yuborib yubormaydi va ishchi token kamroq odamlar qo‘lida bo‘ladi.