Что на самом деле представляет собой токен
Когда вы создаете бота, Telegram возвращает строку, состоящую из числа, двоеточия и длинной случайной последовательности символов. Эта строка передается с каждым запросом вашей программы к Telegram, и по ней Telegram определяет, действительно ли запрос поступил от вашего бота.
Здесь нет ни второго фактора, ни отдельного пароля. Токен обеспечивает всю аутентификацию, поэтому обращаться с ним нужно осторожнее, чем с любыми другими настройками бота.
Число перед двоеточием является идентификатором самого бота и не считается секретным. А вот часть после двоеточия является секретной.
Что может сделать тот, у кого есть ваш токен
Все, что может ваш бот, и именно это часто недооценивают. Если бот является администратором вашего канала, посторонний человек с токеном сможет публиковать записи от вашего имени, удалять сообщения и исключать участников. Он также сможет читать все, что получает бот, а в группе это те сообщения, которые доступны боту.
Со стороны ничего из этого не выглядит как атака. Кажется, что ваш бот просто ведет себя странно, поэтому утечку токена часто замечают слишком поздно, например после третьей подозрительной публикации, а не после первой.
Ущерб не ограничивается только тем, что произойдет дальше. Если бот опубликовал мошенническую ссылку для ваших подписчиков, он подорвал доверие, которое вы выстраивали целый год, и никакие последующие объяснения не помогут вернуть его полностью.
Как происходят утечки токенов
Почти никогда через Telegram. Токены попадают в опубликованные для получения помощи скриншоты, в код, загруженный в публичный репозиторий, в сообщение разработчику, который затем уходит из проекта, или в чат поддержки с человеком, который вежливо попросил поделиться токеном.
Сценарий всегда один и тот же: с токеном обращались как с обычной настройкой, а не как с секретом. Он хранится в конфигурационном файле рядом с цветовой схемой, поэтому его копируют с той же осторожностью, что и цветовую схему.
Публичные репозитории являются самой распространенной причиной таких утечек, и предотвратить ее проще всего. Любые данные, похожие на токен, должны храниться в переменной окружения, а не в файле, который вы отправляете в репозиторий.
Что делать, если токен утек
Отозвать его. Когда вы создаете новый токен для бота в BotFather, старый сразу становится недействительным, а все, что продолжает использовать старую строку, перестает работать. Сначала сделайте это, а уже потом выясняйте, как произошла утечка. Именно в таком порядке.
Затем проверьте, что произошло, пока токен был доступен посторонним: последние публикации в вашем канале, недавние исключения из списка участников и все отправленные ботом сообщения, которые писали не вы. Отзыв токена закрывает дверь, но не устраняет последствия того, что успело через нее проникнуть.
Как платформа должна хранить токен
Если вы передаете токен сервису, он должен храниться в зашифрованном виде, а не в базе данных открытым текстом, и ни в коем случае не должен попадать в журналы. В BotLaunch токены ботов и другие конфиденциальные данные хранятся в зашифрованном виде с использованием AES-256. Вы можете в любое время отозвать и заменить токен через BotFather, не потеряв свои настройки.
Об этом вполне уместно спросить любую платформу, прежде чем что-либо туда вставлять. Если платформа не может дать ясный ответ, это само по себе многое о ней говорит.
Когда токен вообще не нужен
Большинству пользователей токен ни разу не понадобится. В BotLaunch достаточно добавить общего бота в свой канал в качестве администратора и включать модули через веб-интерфейс, поэтому вам не нужно создавать бота и хранить токен. Подключение собственного брендированного бота, для которого как раз нужен токен, доступно на платном тарифе тем, кто хочет использовать собственное имя.