Telegram botunda iki faktorlu avtorizasiyanı necə qurmaq olar

Telegram botunda 2FA nədir

İki faktorlu avtorizasiya (2FA) giriş/vacib hərəkətlər zamanı əlavə yoxlamadır: Telegram şifrəsinə/sessiyasına ikinci amil əlavə olunur (birdəfəlik kod, biometriya, tətbiqdə təsdiq, passkey). Bot kontekstində 2FA xidmət tərəfində konfiqurasiya olunur, bot isə interfeys rolunu oynayır: 2FA-nı işə salmağa kömək edir, təlimatlar verir, kodları qəbul edir, təsdiq üçün WebApp-ı işə salır.

2FA lazım olan əsas ssenarilər:

şəxsi hesabınıza giriş (bot → WebApp → profil vasitəsilə), ödəniş metodlarının əlaqələndirilməsi/dəyişdirilməsi, çıxış sorğuları, e-mail/telefon, parol/limitlərin dəyişdirilməsi, yeni cihazdan/yeni ölkədən giriş.

Botda mövcud olan 2FA variantları

1. TOTP (Autenticator Application) - Google/Microsoft Authenticator, 1Password, Bitwarden və s. Hər 30 saniyədə 6 rəqəmli kodlar (RFC 6238) yaradır.

2. Ehtiyat kodlar - «qara gün» üçün birdəfəlik statik kodlar dəsti. Oflayn saxlayın.

3. WebApp-da təsdiq - bot Telegram WebApp-ı açır, burada siz hərəkəti (step-up) təsdiq edirsiniz.

4. E-mail/SMS kodu - TOTP-ə giriş olmadıqda ehtiyat seçimdir.

5. Passkeys/WebAuthn (xidmət tərəfindən dəstəklənərsə) - ikinci amil kimi və ya parol əvəzinə cihaz biometrikası (Face/Touch ID) vasitəsilə parol olmadan giriş/təsdiqləmə.

💡 Vacibdir: Botda 2FA ≠ Telegram şifrəsi. Telegram parolu (Cloud Password) Telegram hesabının özünü qoruyur; onu da daxil etmək lazımdır, lakin bu, Telegram müştərisində ayrıca bir parametrdir.

Bir istifadəçi botda 2FA-nı necə aktivləşdirir (addım-addım)

Addım 1. Təhlükəsizlik bölməsini açın

Botda Menyu → Profil/Təhlükəsizlik → İki Faktorlu Autentifikasiya seçin və ya/security → 2FA-nı aktivləşdirin.

Addım 2. Metodu seçin

TOTP (etibarlı və müstəqil) tövsiyə olunur. Yoxdursa, e-mail/SMS-i ehtiyat kimi qoşun.

Addım 3. TOTP bağlayın

1. Bot QR kodunu (və ya gizli açarı 'otpauth ://'/base32 formatında) göstərəcək.

2. Autentifikator tətbiqini açın → Əlavə edin → QR skan edin (və ya daxil edin).

3. Təsdiq etmək üçün botdakı identifikatordan cari 6 rəqəmli kodu daxil edin.

4. Ehtiyat kodları saxlayın (bot 8-10 kod verəcək). Yükləyin/oflayn rejimdə yazın.

Addım 4. Ehtiyat kanalını yoxlayın

E-poçtun təsdiqləndiyinə əmin olun, telefon aktualdır: bu, TOTP-ni itirməyə kömək edəcəkdir.

Addım 5. Kritik əməliyyatlara step-up daxil edin

2FA Parametrləri bölməsində qeyd edin: «Rekvizitlərin/limitlərin çıxarılması/dəyişdirilməsi zamanı 2FA-ya müraciət edin».

Addım 6. Test edin

Sessiyadan çıxın → bot/WebApp vasitəsilə yenidən daxil olun - sistem 2FA kodunu soruşacaq.

Bu «kapot altında» necə işləyir (qısa)

Bot/veb kabinet sizin şəxsiyyətinizi Telegram Login (Telegram-dan imzalanmış məlumatlar) və ya səlahiyyətli 'telegram _ id' vasitəsilə müəyyən edir.

Server tərəfində hesabınızla əlaqəli TOTP sirri (base32) saxlanılır (şifrələnmiş formada).

2FA tələb edən əməliyyat zamanı server 6 rəqəmli TOTP kodunu (və ya WebApp/Passkey vasitəsilə təsdiq) gözləyir.

Server kodu cari vaxt pəncərəsi ilə (adətən 30 saniyə) vaxt sürüklənməsi toleransı ilə müqayisə edir.

Uğurlu olarsa, əməliyyat həyata keçirilir; uğursuzluqla - bloklama/kapça/taymaut/risk bildirişi.

Ən yaxşı təhlükəsizlik təcrübələri (istifadəçi üçün)

TOTP + ehtiyat kodları qoşun. Onları qeydlərdə/qalereyada saxlamayın - çap edin.

Kassa üçün step-up daxil edin/çıxarış/rekvizitləri dəyişdirin.

«Menecerlərə» şəxsi kodlar göndərməyin - yalnız rəsmi bot/WebApp daxil edin.

Telegram şifrənizin (Cloud Password) aktiv olduğunu və Telegram-ın kodu/biometriyası ilə bloklandığını yoxlayın.

Telefonunuzu itirirsinizsə - dərhal: hesabınızın parolunu dəyişdirin, köhnə cihazları açın, ehtiyat kodlardan istifadə edin, dəstək ilə əlaqə saxlayın.

Ən yaxşı təcrübələr (admin/məhsul üçün)

TOTP sirrinin saxlanması: KMS/şifrələnmiş sahədə (AES-GCM), giriş rollarının ayrılması ilə.

Rate limiting və brüt qorunması: kod daxil etmək cəhdlərini məhdudlaşdırın, eksponensial gecikmələr və kapça əlavə edin.

Vaxt pəncərəsi: 30 san + tolerans ± 1 pəncərə; saat sürüklənməsini nəzərə alın.

Step-up: Yeni cihazdan/ölkədən/şübhəli IP-dən giriş zamanı çıxış, ödəniş metodlarını, KYC məlumatlarını dəyişdirmək üçün 2FA tələb edin.

Seanslar: istifadəçiyə aktiv cihazları göstərin, «Hər yerdən çıxın» düyməsini verin.

Audit: 2FA təsdiqlərini (kodların özlərini saxlamadan) qeyd edin, anomaliyalar zamanı alert göndərin.

WebApp: serverdə 'initData '/Telegram imzasını təsdiqləyin; bitən 'auth _ date'; replay (nonce) qarşı qoruyun.

Passkeys: WebAuthn dəstəyini əlavə edin (ikinci amil və ya passwordless kimi), cihaz bağlama açarlarını saxlayın.

Ehtiyat kodları: bir dəfə verin, şəxsiyyət təsdiqi ilə bərpa edək.

UX: dəqiq səhv vəziyyətləri, zamanlayıcılar, qalan cəhdlərin sayğacı, giriş bərpa üçün aydın «pilləkən».

Tez-tez səhvlər və onları necə həll etmək olar

Səhv kod: Auto-time sinxronizasiyasını işə salın, növbəti 30 saniyəlik pəncərəni gözləyin.

TOTP və ehtiyat kodlara giriş yoxdur: təsdiq edilmiş e-mail/telefon istifadə edin, bərpa prosedurunu keçin (KYC şəxsiyyət təsdiqi).

E-mail/SMS gəlmir: spam, telefonun düzgünlüyünü yoxlayın, 60-120 saniyə sonra təkrarlayın; sistem gecikməsi zamanı TOTP istifadə edin.

WebApp təkrar giriş tələb edir: bitmiş 'auth _ date' və ya sıfırlanmış sessiya; botda düymə vasitəsilə yenidən daxil olun.

Çox cəhd: taymaut gözləyin, sonra yenidən cəhd edin; tez-tez uğursuz olduqda - TOTP sirrini dəyişdirin və identifikatoru yenidən bağlayın.

2FA daxil etməzdən əvvəl mini çek siyahısı

1. Autentifikator tətbiqi quraşdırılıb, avto-vaxt aktivdir.

2. E-mail və telefon təsdiqləndi (ehtiyat giriş).

3. TOTP sirri QR/açar vasitəsilə əlavə olunur, ilk kod təsdiqlənir.

4. Ehtiyat kodlar oflayn saxlanılır.

5. Step-up kassaya/nəticələrə/rekvizitlərin dəyişdirilməsinə daxildir.

6. Telegram şifrəsi (Cloud Password) və müştərinin bloklanması daxildir.

FAQ

Botdakı 2FA şifrəni əvəz edir?

Yox. Bu əlavə yoxlamadır. Şifrə/əsas giriş hələ də lazımdır.

2FA yalnız çıxarışa daxil edilə bilərmi?

Bəli, təhlükəsizlik parametrləri vasitəsilə (kritik əməliyyatlar üçün step-up).

Hangisi daha etibarlıdır: TOTP və ya SMS?

TOTP daha etibarlıdır: şəbəkədən asılı deyil, SIM-svapa həssas deyil. SMS/e-mail - ehtiyat variant.

Passkeys Telegram WebApp-da işləyir?

Xidmət müştərinin daxili brauzerində WebAuthn dəstəkləyirsə və platformanız buna imkan verirsə - bəli. Əks halda TOTP istifadə edin.

Telefonumu dəyişdim. Yenidən qurmaq lazımdır?

Bəli. Autentifikator hesabınızı köçürün (ixrac) və ya sirri sıfırlayın və TOTP-ni yenidən qurun. Ehtiyat kodlar keçid dövrünə daxil olmağa kömək edəcəkdir.

Telegram botunda 2FA təhlükəsizliyi əhəmiyyətli dərəcədə artırmağın asan yoludur: TOTP + ehtiyat kodları + həssas əməliyyatlar üçün step-up. Autentifikatoru bağlayın, ehtiyat kodları saxlayın, kassa və ödəniş dəyişiklikləri üçün təsdiqləri daxil edin və hesabınız şifrə və ya cihaz güzəştə geddikdə belə qorunacaq.