Bir Telegram botunda iki faktörlü yetkilendirme nasıl kurulur

Telegram botunda 2FA nedir

İki faktörlü yetkilendirme (2FA), giriş/önemli eylemlerde ek bir kontroldür: Telegram şifresine/oturumuna ikinci bir faktör eklenir (bir kerelik kod, biyometri, uygulamada onay, geçiş anahtarı). Bot bağlamında, 2FA hizmet tarafında yapılandırılır ve bot bir arayüz görevi görür: 2FA'nın etkinleştirilmesine yardımcı olur, talimatlar verir, kodları kabul eder, onaylar için WebApp'ı başlatır.

2FA'nın zorunlu olduğu temel senaryolar:

Kişisel hesapta oturum açma (bot üzerinden WebApp üzerinden), ödeme yöntemlerini bağlama/değiştirme, para çekme talepleri, e-posta/telefon değiştirme, şifre/limitler, yeni bir cihazdan/yeni bir ülkeden giriş.

Botta 2FA seçenekleri mevcuttur

1. TOTP (kimlik doğrulayıcı uygulama) - Google/Microsoft Authenticator, 1Password, Bitwarden, vb. Her 30 saniyede bir 6 basamaklı kodlar oluşturun (RFC 6238).

2. Rezerv kodları - "yağmurlu bir gün" için bir kerelik statik kodlar kümesi. "Çevrimdışı kalın.

3. WebApp'ta Onay - bot, eylemi onayladığınız Telegram WebApp'ı açar (adım adım).

4. E-posta/SMS'deki kod, TOTP'ye erişim olmadığında bir yedekleme seçeneğidir.

5. Passkeys/WebAuthn (servis tarafından destekleniyorsa) - cihaz biyometrisi (Face/Touch ID) aracılığıyla şifre olmadan, ikinci bir faktör olarak veya şifre yerine giriş/onay.

💡 Önemli: Botta 2FA, Telegram şifresini ≠. Telegram (Cloud Password) şifresi Telegram hesabının kendisi tarafından korunmaktadır; Ayrıca etkinleştirilmelidir, ancak bu Telegram istemcisinde ayrı bir ayardır.

Bir botta 2FA nasıl etkinleştirilir (adım adım)

Adım 1. Güvenlik bölümünü açın

Botta, Menü> Profil/Güvenlik> İki faktörlü kimlik doğrulama'yı seçin veya komutu/güvenliği gönderin - 2FA'yı etkinleştir.

Adım 2. Bir yöntem seçin

TOTP (güvenilir ve özerk) önerilir. Değilse, yedek olarak e-posta/SMS bağlayın.

Adım 3. TOTP bağlayın

1. Bot bir QR kodu (veya 'otpauth ://'/base32 formatında bir gizli anahtar) gösterecektir.

2. Authenticator (Kimlik Doğrulayıcı) Uygulamasını Açın - Ekle - Scan QR (veya Enter key).

3. Onaylamak için bottaki kimlik doğrulayıcıdan geçerli 6 haneli kodu girin.

4. Yedek kodları kaydedin (bot 8-10 kod verecektir). Çevrimdışı olarak indirin/kaydedin.

Adım 4. Yedekleme kanalını kontrol edin

E-postanın onaylandığından emin olun, telefon güncel: bu TOTP kaybına yardımcı olacaktır.

Adım 5. Kritik işlemlerde adım atmayı etkinleştir

2FA Ayarları bölümünde, şunu işaretleyin: "Ayrıntıları/sınırları görüntülerken/değiştirirken 2FA isteyin".

Adım 6. Test edin

Oturumdan çıkış yapın -/WebApp botu aracılığıyla tekrar giriş yapın - sistem 2FA kodunu isteyecektir.

"Kaputun altında" nasıl çalışır (kısa)

Bot/web hesabı kimliğinizi Telegram Giriş (Telegram'dan imzalı veriler) veya yetkili 'telegram _ id' üzerinden belirler.

Sunucu tarafı, hesabınızla ilişkili (şifrelenmiş) TOTP sırrını (base32) saklar.

2FA gerektiren bir işlem için, sunucu 6 basamaklı bir TOTP kodu (veya WebApp/Paskey aracılığıyla onay) bekler.

Sunucu, kodu geçerli zaman penceresine (genellikle 30 saniye) karşı zaman kayması toleransına karşı kontrol eder.

Başarı üzerine, operasyon gerçekleştirilir; Arıza durumunda - kilit/captcha/timeout/risk bildirimi.

Güvenlik En İyi Uygulamaları (Kullanıcı)

TOTP + koruma kodlarını bağlayın. Onları notlarda/galeride tutmayın - yazdırın.

Nakit/çıktı/ayrıntı değişikliği için yükseltmeyi etkinleştirin.

Kişisel hesabınızdaki "yöneticilere" kod göndermeyin - yalnızca resmi bot/WebApp'a girin.

Telegram (Bulut Parolası) parolasını ve kod/biyometri ile Telegram engellemesini etkinleştirdiğinizden emin olun.

Telefonunuzu kaybederseniz - hemen: hesap şifrenizi değiştirin, eski cihazların bağlantısını kesin, yedekleme kodları kullanın, desteğe başvurun.

En İyi Uygulamalar (yöneticiler/ürün için)

TOTP sırrının depolanması: KMS/şifreli alanda (AES-GCM), erişim rollerinin ayrılmasıyla.

Hız sınırlaması ve kaba kuvvet koruması: Kod girişimlerini sınırlayın, üstel gecikmeler ve captcha ekleyin.

Zaman penceresi: 30 sn + tolerans ± 1 pencere; Saat kaymasını düşünün.

Adım atma: Yeni bir cihazdan/ülkeden/şüpheli IP'den giriş yaparken çıktı almak, ödeme yöntemlerini değiştirmek, KYC verilerini değiştirmek için 2FA gerektirir.

Oturumlar: Kullanıcıya aktif cihazları gösterin, "Her yerden çık" düğmesine tıklayalım.

Denetim: Günlük 2FA onayları (kodların kendilerini saklamadan), anormallikler durumunda tokat uyarıları.

WebApp: sunucuda 'initData'/Telegram imzasını doğrulayın; süresi dolan 'auth _ date'; Tekrarlamaya karşı koruma (nonce).

Geçiş Anahtarları: WebAuthn desteği ekleyin (ikinci faktör veya şifresiz olarak), cihaz bağlama anahtarlarını saklayın.

Yedek kodlar: bir kez sorun, kimlik onayı ile rejenerasyon verin.

UX: açık hata durumları, zamanlayıcılar, kalan girişimlerin bir sayacı, erişim kurtarmanın anlaşılabilir bir "merdiveni".

Yaygın hatalar ve bunların nasıl çözüleceği

Kod yanlış: Cihazdaki saati kimlik doğrulayıcı ile kontrol edin (zamanın otomatik senkronizasyonunu etkinleştirin), bir sonraki 30 saniyelik pencereyi bekleyin.

TOTP ve yedekleme kodlarına erişim yok: Onaylanmış bir e-posta/telefon kullanın, kurtarma prosedüründen geçin (KYC kimlik onayı).

E-posta/SMS gelmez: spam, telefon doğruluğunu kontrol edin, 60-120 saniye içinde tekrarlayın; Sistem gecikmesi için TOTP kullanın.

WebApp yeniden giriş ister: 'auth _ date' süresi doldu veya oturum sıfırlandı; Bottaki düğmeden tekrar girin.

Çok fazla deneme: zaman aşımını bekleyin, sonra tekrar deneyin; Sık sık arıza olması durumunda, TOTP sırrını değiştirin ve kimlik doğrulayıcıyı yeniden atayın.

2FA'yı açmadan önce mini kontrol listesi

1. Kimlik doğrulayıcı yüklü, otomatik zaman etkin.

2. Onaylanmış e-posta ve telefon (yedekleme erişimi).

3. QR/anahtar ile eklenen TOTP sırrı, ilk kod doğrulandı.

4. Yedek kodlar çevrimdışı tutulur.

5. Step-up, nakit/çıktı/ayrıntı değişikliği için etkinleştirilir.

6. Telegram (Cloud Password) parolası ve istemci kilidi etkinleştirildi.

SSS

Bottaki 2FA şifreyi değiştirir mi?

Hayır. Bu ek bir kontroldür. Hala bir şifre/ana girişe ihtiyacınız var.

2FA'yı yalnızca çıktı için açabilir miyim?

Evet, güvenlik ayarları aracılığıyla (kritik işlemler için adım adım).

Hangisi daha güvenilir: TOTP mi SMS mi?

TOTP daha güvenilirdir: ağa bağlı değildir, SIM takaslarına karşı savunmasız değildir. SMS/e-posta bir geri dönüştür.

Passkeys Telegram WebApp çalışır?

Servis, yerleşik istemci tarayıcısında WebAuthn'u destekliyorsa ve platformunuz buna izin veriyorsa, evet. Aksi takdirde TOTP kullanın.

Telefonumu değiştirdim. Yeniden yapılandırılması mı gerekiyor?

Evet. Kimlik doğrulayıcı hesabını (dışa aktarma) taşıyın veya sırrı sıfırlayın ve TOTP'yi yeniden yapılandırın. Yedek kodlar geçiş dönemine girmenize yardımcı olacaktır.

Telegram botundaki 2FA, güvenliği önemli ölçüde artırmanın kolay bir yoludur: TOTP + yedekleme kodları + hassas işlemler için adım atma. Bir kimlik doğrulayıcı bağlayın, yedekleme kodlarını kaydedin, yazar kasa ve ödeme değişiklikleri için onayları etkinleştirin - parola veya cihaz tehlikeye girse bile hesabınız korunmaya devam edecektir.