Авторизация my.telegram.org для Telegram: когда она нужна, а когда можно обойтись без неё

Зачем на my.telegram.org просят api_id и api_hash

На my.telegram.org по номеру телефона выпускают пару ключей: api_id и api_hash. Ничего личного, только цифры. Это не логин и не пароль от аккаунта — идентификатор программы, которая обращается к Telegram через открытый протокол API. Такую пару получает тот, кто пишет собственного Telegram-бота на низком уровне через BotFather или юзербота — программу, которая входит в Telegram под обычным аккаунтом человека, а не под ботом.

Когда сервис просит api_id, api_hash и пароль напрямую — повод насторожиться

Сторонние автоответчики и «юзерботы» иногда просят вписать api_id, api_hash, номер телефона и пароль в форму на чужом сайте. Такой сервис входит в аккаунт Telegram наравне с владельцем: видит всю переписку и может писать от его имени. Этот риск можно не брать на себя — попасть в свой аккаунт для ответа клиентам получается и без публикации этих данных на постороннем сайте.

Как HeadHack подключает Telegram-аккаунт без my.telegram.org

В мини-приложении HeadHack это устроено иначе. В шапке — кнопка «Аккаунты», она открывает список подключений, полей для чужих ключей там нет. Пункт «О подключении» ведёт на тот же экран, что и первое подключение, — «Полный доступ к Telegram». Кнопка там одна: «Получить QR-код». Дальше — в самом Telegram: Настройки → Устройства → Подключить устройство, и камерой навести на код. Вход подтверждается сканированием QR-кода в приложении Telegram, форма стороннего сайта в этой цепочке отсутствует.

Прежде чем код появится, нужно поставить галочку: «Я разрешаю готовить и отправлять ответы от моего аккаунта в выбранном режиме». Это единственное поле на экране. Ни api_id, ни api_hash вводить не нужно — номер телефона тоже не спрашивают.

Пароль двухэтапной аутентификации не уходит открытым текстом

Если на аккаунте включена двухэтапная защита, Telegram запрашивает пароль в процессе именно этого входа. Мини-приложение не отправляет его как есть: браузер шифрует пароль ключом RSA-OAEP, который выпускается заново для каждой попытки входа. В облаке HeadHack получают только шифротекст и расшифровывают его уже там. Чтобы Telegram принял пароль, он всё равно проходит через собственный протокол входа Telegram — так устроена любая программа, которая подключается к Telegram через API.

После подключения ассистент начинает отвечать на новые личные текстовые сообщения в разрешённых чатах. Переписку, которая была до подключения, он не читает. Про то, что именно входит в доступ с Telegram Premium и без него, — отдельный разбор в посте о том, что даёт Premium в Telegram.

Что делать, если нужен именно my.telegram.org

my.telegram.org действительно нужен, если вы пишете что-то своё: бота через BotFather на низком уровне или юзербота на собственном коде. Здесь так не получится — HeadHack не встраивается в чужой код и ключей API не выдаёт: это готовый помощник, а не библиотека для разработчиков. Если нужен именно готовый ИИ-помощник без программирования, весь путь подключения по шагам, с картинками экрана, разобран в гайде «Автоответчик Telegram без Premium».

Частые вопросы