Apa sebenarnya token itu
Saat sebuah bot dibuat, Telegram mengembalikan serangkaian karakter yang terdiri dari sebuah angka, tanda titik dua, dan deretan panjang karakter acak. Setiap permintaan yang dikirim perangkat lunak Anda ke Telegram menyertakan rangkaian tersebut, lalu Telegram menggunakannya untuk memastikan apakah permintaan itu benar-benar berasal dari bot Anda.
Tidak ada faktor autentikasi kedua maupun kata sandi terpisah. Token merupakan satu-satunya sarana autentikasi, sehingga cara Anda menjaganya lebih penting daripada pengaturan bot lainnya.
Angka sebelum tanda titik dua adalah ID bot itu sendiri dan bukan rahasia. Bagian setelahnya bersifat rahasia.
Apa yang bisa dilakukan seseorang dengan token Anda
Semua hal yang bisa dilakukan bot Anda, dan inilah yang sering diremehkan orang. Jika bot tersebut menjadi admin di channel Anda, orang asing yang memiliki tokennya dapat memposting atas nama Anda, menghapus pesan, dan mengeluarkan anggota. Mereka juga dapat membaca apa pun yang diterima bot, yang dalam grup berarti pesan-pesan yang memang dapat dilihat oleh bot tersebut.
Dari luar, semua ini tidak tampak seperti serangan. Yang terlihat hanyalah bot Anda bertingkah aneh. Karena itulah, kebocoran token sering terlambat disadari, biasanya setelah postingan aneh ketiga, bukan yang pertama.
Dampaknya juga tidak terbatas pada kejadian setelah kebocoran. Bot yang memposting tautan penipuan kepada anggota Anda telah menghabiskan kepercayaan yang Anda bangun selama setahun, dan sebanyak apa pun penjelasan yang diberikan setelahnya tidak akan sepenuhnya memulihkan kepercayaan tersebut.
Dari mana token bocor
Hampir tidak pernah melalui Telegram. Token biasanya bocor lewat tangkapan layar yang dibagikan saat meminta bantuan, kode yang dikirim ke repositori publik, pesan kepada developer yang kemudian meninggalkan proyek, atau dalam chat dukungan kepada seseorang yang memintanya dengan sopan.
Polanya selalu sama: token diperlakukan sebagai pengaturan, bukan sebagai rahasia. Token disimpan dalam file konfigurasi di samping pengaturan skema warna, lalu disalin ke sana kemari dengan tingkat kehati-hatian yang sama seperti saat menyalin skema warna.
Di antara semua penyebab tersebut, repositori publik adalah yang paling umum sekaligus paling mudah dicegah. Apa pun yang tampak seperti token seharusnya disimpan dalam variabel lingkungan dan tidak pernah di dalam file yang Anda commit.
Apa yang harus dilakukan jika token bocor
Cabut token tersebut. Di BotFather, membuat token baru untuk bot akan langsung membatalkan token lama, dan semua layanan yang masih menggunakan rangkaian lama akan berhenti berfungsi. Lakukan itu terlebih dahulu, lalu cari tahu penyebab kebocorannya, dengan urutan seperti itu.
Selanjutnya, periksa apa yang terjadi selama token tersebut terekspos: postingan terbaru di channel Anda, anggota yang baru-baru ini dikeluarkan dari daftar, serta semua kiriman bot yang tidak Anda tulis. Mencabut token akan menutup akses, tetapi tidak membatalkan apa yang sudah dilakukan melalui akses tersebut.
Bagaimana sebuah platform seharusnya menyimpannya
Jika Anda menyerahkan token kepada suatu layanan, token tersebut seharusnya dienkripsi saat disimpan, bukan dibiarkan sebagai teks biasa di dalam database, dan tidak boleh muncul dalam baris log. Di BotLaunch, token bot dan data sensitif lainnya dienkripsi saat disimpan menggunakan AES-256. Anda juga dapat mencabut dan mengganti token kapan saja melalui BotFather tanpa kehilangan konfigurasi yang sudah ada.
Hal ini sangat wajar untuk ditanyakan kepada platform mana pun sebelum Anda menempelkan data apa pun. Platform yang tidak bisa menjawabnya dengan jelas sebenarnya sudah memberikan sebuah petunjuk penting kepada Anda.
Kapan Anda sama sekali tidak memerlukannya
Kebanyakan orang tidak perlu pernah berurusan langsung dengan token. Di BotLaunch, Anda cukup menambahkan bot yang digunakan bersama ke channel sebagai admin dan mengaktifkan modul dari web, sehingga Anda tidak perlu membuat bot atau menyimpan token. Menghubungkan bot bermerek milik Anda sendiri, yang memerlukan token, merupakan opsi paket berbayar bagi orang yang ingin menggunakan nama mereka sendiri pada bot tersebut.