Crypto-casino
Torrent Gear
Comment configurer une autorisation à deux facteurs dans Telegram-bot
Qu'est-ce que 2FA dans Telegram-bot
L'autorisation à deux facteurs (2FA) est une vérification supplémentaire lors de l'entrée/des actions importantes : un deuxième facteur est ajouté au mot de passe/session Telegram (code à usage unique, biométrie, confirmation dans l'application, passkey). Dans le contexte du bot, 2FA est configuré du côté du service, et le bot agit comme une interface : il aide à activer 2FA, donne des instructions, accepte des codes, lance WebApp pour les confirmations.
Scénarios clés où 2FA est obligatoire :- connexion au bureau privé (via le bot → WebApp → profil), liaison/changement de méthodes de paiement, demandes de sortie, modification de l'e-mail/téléphone, mot de passe/limites, connexion à partir d'un nouvel appareil/d'un nouveau pays.
Options 2FA disponibles dans le bot
1. TOTP (application d'authentification) - Google/Microsoft Authenticator, 1Password, Bitwarden, etc. Génère des codes à 6 chiffres toutes les 30 secondes (RFC 6238).
2. Les codes de sauvegarde sont un ensemble de codes statiques jetables pour le jour noir. Gardez-le hors ligne.
3. Confirmation dans WebApp - Le bot ouvre Telegram WebApp, où vous confirmez l'action (step-up).
4. Le code dans l'e-mail/SMS est une option de secours lorsqu'il n'y a pas d'accès à TOTP.
5. Passkeys/WebAuthn (si le service est pris en charge) - connexion/confirmation sans mot de passe via la biométrie de l'appareil (Face/Touch ID), en tant que deuxième facteur ou à la place du mot de passe.
Comment l'utilisateur doit activer 2FA dans le bot (étape par étape)
Étape 1. Ouvrez la section Sécurité
Dans le bot, cliquez sur Menu → Profil/Sécurité → Authentification à deux facteurs ou envoyez la commande/sécurité → Activer 2FA.
Étape 2. Sélectionnez une méthode
TOTP (fiable et autonome) est recommandé. En cas d'absence - connectez l'e-mail/SMS comme une réserve.
Étape 3. Connectez TOTP
1. Le bot montrera le code QR (ou la clé secrète au format 'otpauth ://base32).
2. Ouvrez l'application d'authentification → Ajouter → Analyser QR (ou Entrer une clé).
3. Entrez le code à 6 chiffres actuel de l'authentificateur dans le bot pour confirmer.
4. Enregistrez les codes de sauvegarde (le bot donnera 8 à 10 codes). Télécharger/écrire hors ligne.
Étape 4. Vérifier le canal de sauvegarde
Assurez-vous que l'e-mail est confirmé, que le téléphone est à jour, ce qui vous aidera à perdre TOTP.
Étape 5. Activer step-up pour les opérations critiques
Dans la section Paramètres 2FA, cochez « Demander 2FA lorsque vous sortez/changez de détails/limites ».
Étape 6. Testez
Quittez la session → connectez-vous à nouveau via le bot/WebApp - le système demandera le code 2FA.
Comment fonctionne ce « sous le capot » (court)
Le bureau bot/Web détermine votre identité via Telegram Login (données signées de Telegram) ou votre "telegram _ id'autorisé.
Côté serveur, un secret TOTP (base32) associé à votre compte (chiffré) est stocké.
Si une opération nécessite 2FA, le serveur attend un code TOTP à 6 chiffres (ou une confirmation via WebApp/Passkey).
Le serveur compare le code à la fenêtre temporelle actuelle (généralement 30 secondes) avec la tolérance de dérive temporelle.
Si vous réussissez, l'opération est effectuée ; en cas d'échec, verrouillage/captcha/timaut/notification de risque.
Meilleures pratiques de sécurité (pour l'utilisateur)
Connectez les codes de sauvegarde TOTP +. Ne les conservez pas dans les notes/galerie - imprimez-les.
Activez step-up pour la caisse/sortie/changement de détails.
N'envoyez pas les codes aux « gestionnaires » en personne - entrez seulement dans le bot officiel/WebApp.
Vérifiez que vous avez le mot de passe Telegram (Cloud Password) et le verrouillage de Telegram par code/biométrie.
Si vous avez perdu votre téléphone - immédiatement : changez le mot de passe de votre compte, détournez les anciens appareils, utilisez les codes de sauvegarde, contactez le support.
Meilleures pratiques (pour les admins/produits)
Stockage du secret TOTP : dans KMS/dans un champ crypté (AES-GCM), avec séparation des rôles d'accès.
Limitation des taux et protection contre le brutal : limitez les tentatives de saisie de code, ajoutez des retards exponentiels et du captcha.
Fenêtre temporelle : 30 s + tolérance ± 1 fenêtre ; tenir compte de la dérive de l'horloge.
Step-up : exigez 2FA pour la sortie, le changement des méthodes de paiement, les données KYC, lorsque vous vous connectez à partir d'un nouvel appareil/pays/IP suspecte.
Sessions : montrez à l'utilisateur les périphériques actifs, cliquez sur Quitter partout.
Audit : Loger les confirmations 2FA (sans stocker les codes eux-mêmes), couler les alertes en cas d'anomalies.
WebApp : validez 'initData '/signature Telegram sur le serveur ; expirant 'auth _ date' ; protéger contre le replay (nonce).
Passkeys : ajoutez le support WebAuthn (en tant que second facteur ou passwordless), stockez les clés de liaison aux périphériques.
Codes de sauvegarde : émettez une seule fois, régénérons avec preuve d'identité.
UX : états d'erreur clairs, minuteurs, compteur des tentatives restantes, « échelle » compréhensible de récupération d'accès.
Erreurs fréquentes et comment les résoudre
Code incorrect : vérifiez l'heure sur l'appareil avec l'authentificateur (activez la synchronisation automatique de l'heure), attendez la prochaine fenêtre de 30 secondes.
Pas d'accès au TOTP et aux codes de sauvegarde : utilisez un e-mail/téléphone confirmé, passez la procédure de restauration (KYC).
Aucun e-mail/SMS ne vient : vérifiez le spam, le téléphone est correct, répétez dans 60-120 secondes ; en cas de retard du système, utilisez TOTP.
WebApp vous demande de vous reconnecter : « auth _ date » s'est terminé ou la session a été réinitialisée ; Reconnectez-vous via le bouton dans le bot.
Trop d'essais : attendez le délai, puis réessayez ; Si vous échouez fréquemment, changez le secret TOTP et réenchantez l'authentificateur.
Mini-chèque avant d'inclure 2FA
1. L'application d'authentification est installée et l'heure automatique est activée.
2. Email et téléphone confirmés (accès de secours).
3. Le secret TOTP a été ajouté via QR/clé, le premier code a été vérifié.
4. Les codes de sauvegarde sont enregistrés hors ligne.
5. Step-up est activé pour la caisse/conclusions/modification des détails.
6. Le mot de passe Telegram (Cloud Password) et le verrouillage client sont activés.
FAQ
2FA dans le bot remplace le mot de passe ?
Non. C'est une vérification supplémentaire. Vous avez toujours besoin d'un mot de passe/d'une connexion principale.
Puis-je activer 2FA uniquement sur la sortie ?
Oui, via les paramètres de sécurité (step-up pour les opérations critiques).
Quoi de plus sûr : TOTP ou SMS ?
TOTP est plus fiable : indépendant du réseau, non vulnérable au swap SIM. SMS/e-mail - une option de rechange.
Passkeys travaille sur Telegram WebApp ?
Si le service prend en charge WebAuthn dans le navigateur intégré du client et que votre plate-forme le permet - oui. Sinon, utilisez TOTP.
J'ai changé de téléphone. Besoin d'une nouvelle configuration ?
Oui, oui. Déplacez votre compte d'authentification (export) ou réinitialisez votre secret et configurez à nouveau TOTP. Les codes de réserve aideront à entrer dans la période de transition.
2FA dans Telegram-bot est un moyen simple d'augmenter considérablement la sécurité : TOTP + codes de sauvegarde + step-up sur les opérations sensibles. Connectez l'authentificateur, enregistrez les codes de sauvegarde, activez les confirmations pour la caisse et les modifications de paiement, et votre compte restera protégé même si vous compromettez votre mot de passe ou votre terminal.