Защита Telegram-бота: токен, вебхук, данные пользователей

Токен бота — это ключ от всего бота. У кого он есть, тот может писать вашим клиентам от вашего имени. Защита начинается с него.

Рассчитать стоимость от 24 900 ₽

Бота часто делают быстро: фрилансер пишет код, кладёт токен прямо в файл, загружает проект в публичный репозиторий или пересылает архив в мессенджере. Через год у токена уже несколько владельцев, а бизнес об этом не знает. Если токен попадает к постороннему, он может читать входящие сообщения, менять ответы и рассылать сообщения подписчикам от имени вашей компании.

Защита бота включает несколько уровней. Токен хранится в настройках сервера, а не в коде, и меняется при смене подрядчика. Вебхук принимает обновления только от Telegram и проверяет секретный заголовок. Административные команды доступны только списку проверенных пользователей. Данные клиентов — телефоны, адреса, заказы — хранятся в базе в России, с резервными копиями.

Если бот принимает оплату, проверяем, как подтверждается платёж: заказ должен считаться оплаченным только после подтверждения от платёжной системы, а не по сообщению из чата. Если у бота есть мини-приложение, проверяем, что сервер проверяет подпись данных пользователя, которые приходят из Telegram.

Когда менять токен обязательно

Токен меняют при расставании с разработчиком или подрядчиком, после увольнения сотрудника, который имел доступ к серверу, если код бота хоть раз попадал в открытый доступ, и при любом подозрении на чужие действия от имени бота. Смена занимает минуты, а отсутствие смены может стоить репутации перед всеми подписчиками.

Возможности

Что защищаем

Токен

Хранение вне кода, смена при смене подрядчика, кто знает токен.

Вебхук

Секретный заголовок, HTTPS, приём обновлений только от Telegram.

Администраторы

Список пользователей с правами, проверка каждой служебной команды.

Данные и платежи

Хранение в РФ, подтверждение оплаты платёжной системой.

Сервер

Обновления, доступ по ключам, перезапуск при сбое, мониторинг.

Что даёт доступ к боту

Что	Кто обычно знает	Что сделать
Токен бота	Разработчик, иногда несколько	Сменить и хранить на сервере
Доступ к серверу	Разработчик, хостер	Вход по ключам, отдельные пользователи
База клиентов	Разработчик, менеджеры	Права по ролям, резервные копии
Аккаунт владельца бота	Тот, кто создавал бота	Перевести на аккаунт компании

Калькулятор

Защита Telegram-бота — расчёт стоимости

Отраслевые модули уже отмечены. Уберите лишнее или добавьте нужное — сумма в счёте будет та же, что в смете.

Выберите пакет

Добавьте нужное

необязательно

+ 4 900 ₽

+ 14 900 ₽

+ 9 900 ₽

+ 2 900 ₽/мес

+ 14 900 ₽

от 19 900 ₽ за сервер

+ 9 900 ₽

+ 49 900 ₽

+ 19 900 ₽

+ 9 900 ₽/мес

Ваша смета

Пакет «Спутник»24 900 ₽
Смена токена и доступов4 900 ₽
Мониторинг работы бота2 900 ₽/мес

Стоимость работ

0 ₽

Ежемесячно 0 ₽/мес

Срок: 1 неделя

Счёт сейчас: 29 800 ₽ — 100%, сумма до 50 000 ₽

Ежемесячные платежи начнутся после запуска — счёт на них выставим отдельно.

Без регистрации. Счёт и анкета придут на почту сразу. Работаем по договору и с разрешения владельца системы.

Самопроверка бота

Бот создан с аккаунта, который принадлежит компании
Токен не лежит в открытом репозитории или переписке
Служебные команды проверяют, кто их вызывает
Заказ считается оплаченным только после подтверждения платёжной системы
Есть резервная копия базы и проверка восстановления

Частые ошибки

Бот на личном аккаунте разработчика

При расставании с подрядчиком бизнес теряет управление ботом.

Админ-команды без проверки

Любой подписчик может вызвать служебную команду, если знает её название.

Данные только в чате

Заказы и телефоны живут в переписке менеджеров, без базы и копий.

О мини-приложениях

Что проверить в мини-приложении?

Что сервер проверяет подпись данных пользователя от Telegram и не доверяет идентификатору, который прислал браузер.

Нужен ли отдельный сервер?

Не обязательно. Важно, чтобы сервер был обновлён, защищён и наблюдался.

Вопросы и ответы

Вопросы владельцев ботов

Как понять, что токен утёк?

Точно — никак, поэтому при любой смене подрядчика токен меняют. Признаки утечки — сообщения, которые вы не отправляли, и изменённые команды бота.

Смена токена сломает бота?

Нет, если новый токен сразу прописать на сервере. Это занимает несколько минут, подписчики остаются.

Где хранить данные клиентов?

В базе на сервере в России. Чаты Telegram — не хранилище персональных данных для бизнеса.

Бот на конструкторе. Вы поможете?

Проверим настройки доступа, интеграции и куда уходят данные. Инфраструктуру конструктора не трогаем.

Бот перестал отвечать. Это взлом?

Чаще сбой сервера или истёкший сертификат. Для срочных случаев есть направление скорой помощи.

Пример: бот доставки, который сделал фрилансер два года назад

Пакет «Спутник» (24 900 ₽) + смена токена и доступов (4 900 ₽) + мониторинг работы бота (2 900 ₽ в месяц). Первый счёт — 32 700 ₽, далее 2 900 ₽ в месяц. Токен переезжает из кода в настройки сервера, у бывшего разработчика не остаётся доступа, а владелец получает сообщение, если бот перестал отвечать.

Собрать свой вариант

Смотрите также

Бесплатные калькуляторы и шаблоны по теме

Все инструменты →