Verificación en dos pasos y sesiones de API en una cuenta que no creaste

Te han entregado una cuenta de Telegram para un equipo. Hay dispositivos antiguos con sesión iniciada en algún sitio, nadie te dijo la contraseña, y además un script necesita acceso. El consejo habitual es limpiar los dispositivos primero y establecer una contraseña después.

Hazlo en ese orden y el primer paso falla. Telegram no permite que una sesión cierre la sesión de otra hasta que haya estado iniciada durante 24 horas, y así lo indica en el error. El cambio de contraseña no tiene esa restricción. Así que la secuencia que todo el mundo repite está al revés, y esta página ha mostrado la versión invertida hasta ahora.

"Inicio de sesión API" significa tres cosas distintas

Vale la pena aclararlo primero, porque la frase en inglés choca y la mitad de quienes la buscan quieren algo completamente diferente. De las sugerencias de búsqueda sobre "telegram api login", cinco son sobre bots y otra es el Login Widget.

• Un bot. Una identidad separada con un token de BotFather. No es una cuenta, no se puede comprar como tal, y nada de esta página le aplica.
• El Login Widget. El botón "Iniciar sesión con Telegram" en el sitio web de otra persona. Te registra en ese sitio. No tiene nada que ver con controlar una cuenta.
• Una sesión de usuario creada a través de la API. Un script que actúa como una cuenta real, usando un API id y hash más una autorización almacenada. Esta es la que importa cuando una cuenta cambia de manos, y es la que se menciona cuando un listado hace referencia a un enlace de inicio de sesión API.

En nuestro propio catálogo, ese tercer significado es más raro de lo que sugiere su prominencia: la palabra aparece solo en una pequeña minoría de los listados activos de Telegram. La mayor parte de este catálogo entrega archivos en lugar de un enlace de inicio de sesión.

Qué contiene realmente un registro de sesión

Cada autorización en la cuenta, ya venga de un teléfono, un cliente de escritorio o un script, es una entrada con los mismos campos. Telegram los documenta, y leer la lista real es más útil que cualquier tabla resumida.

Cada entrada incluye el modelo del dispositivo, la plataforma, la versión del sistema, el nombre y versión de la aplicación, el API id bajo el que se creó, cuándo se creó, cuándo fue la última actividad, y la última dirección conocida con país y región. Dos indicadores merecen atención porque explican cosas que la gente encuentra confusas:

• El país y la región se derivan de la dirección, no del dispositivo. Las propias descripciones de campos de Telegram dicen que ambos se determinan a partir de la IP. Una ciudad inesperada suele ser un artefacto de enrutamiento, no una prueba.
• Una sesión puede estar esperando la contraseña. Hay un indicador que significa que la sesión aún no ha proporcionado la contraseña de dos pasos. Alguien puede estar a un paso de tu cuenta, con un código válido y detenido en la segunda puerta, y ese estado es visible.

El campo API id es el práctico para la automatización. Te dice qué entrada pertenece a qué script, lo cual importa cuando estás a punto de cerrar sesiones y no quieres cortar tu propia herramienta.

La única cerradura que puedes girar en la primera hora

Cambiar la contraseña de dos pasos funciona de inmediato. No tiene período de espera, y es la única acción protectora disponible desde el primer día.

Lo que no hace es expulsar a nadie. Una sesión ya activa no se ve afectada, y ningún cambio de contraseña la eliminará. Lo que hace es cerrar la puerta por la que podría añadirse otra sesión: después del cambio, un nuevo inicio de sesión con el número de teléfono pedirá una contraseña que solo tú conoces.

Esa distinción es el punto clave. El cambio de contraseña no limpia la cuenta. Evita que la cuenta se ensucie más mientras esperas a poder limpiarla.

En cuanto al formato, una corrección a lo que esta página solía decir: Telegram no publica una longitud mínima para esta contraseña ni un requisito de mezclar clases de caracteres. Cualquier regla que leas, incluida la que solía estar en esta página, es inventada. Elige algo largo porque es sensato, no porque exista una regla.

Por qué la lista de dispositivos tiene que esperar un día

La restricción cubre más que el botón obvio. Cerrar un solo dispositivo, cerrar todos los demás dispositivos y establecer el tiempo de vida de la sesión se rechazan con el mismo error durante las mismas 24 horas. Esto último elimina la solución alternativa de pedirle a Telegram que expire las sesiones antiguas por ti.

La razón es defendible una vez que la inviertes. Si una sesión recién creada pudiera terminar con todo lo demás, cualquiera que iniciara sesión con un código interceptado podría bloquear al dueño real fuera de su propia cuenta en el mismo minuto. El bloqueo le cuesta al atacante un día, y en ese día el dueño legítimo puede actuar, porque su sesión tiene la antigüedad suficiente para permitírselo.

Aplicado a una transferencia, esa protección te apunta a ti. Durante las primeras 24 horas, el titular anterior puede cerrar tu sesión y tú no puedes cerrar la suya.

Hay una excepción, y funciona al revés. Cuando una sesión nueva inicia sesión, las sesiones ya presentes reciben una notificación y pueden rechazarla. Si aún controlas una sesión más antigua en la cuenta, ese es el camino que termina un inicio de sesión nuevo de inmediato, porque la instrucción viene de una sesión antigua, no de una nueva. Si no se responde, un inicio de sesión no reconocido se confirma solo después de siete días.

La dirección de recuperación decide quién es dueño de la cuenta

Más importante que la contraseña, y habitualmente ignorada. Una dirección de recuperación que apunta a un buzón que no puedes leer significa que la cuenta no es duraderamente tuya, sea cual sea la contraseña que le pongas, porque la dirección es la ruta de regreso.

Comprueba qué hay configurado antes de cambiar nada, y luego establece la tuya. Si la cuenta llega con una dirección de recuperación que no puedes inspeccionar y el vendedor no puede eliminar, ese es el hallazgo, y vale la pena plantearlo mientras la ventana de garantía esté abierta. En la mayoría de los listados de Telegram de aquí, esa ventana se mide en horas, así que esta comprobación tiene que hacerse pronto o no hacerse.

Si el registro o la recuperación pasan por un número de teléfono que no controlas por completo, un número dedicado de verificación por SMS mantiene ese paso separado de tu línea personal.

El reloj de siete días, y qué lo pone realmente en marcha

Si se pierde la contraseña y no hay dirección de recuperación configurada, la vía de regreso es un restablecimiento, no una recuperación, y Telegram ejecuta un temporizador de siete días en el servidor antes de completarlo. Durante esos siete días, cualquiera que tenga una sesión activa puede cancelarlo, que es el propósito de la demora: le da al dueño real una semana para impedir que un extraño restablezca su contraseña.

Leído desde el lado de la compra, eso corta en ambas direcciones. Un restablecimiento que inicias puede ser cancelado por quienquiera que siga con sesión iniciada. Otra razón más por la que la lista de dispositivos importa más que la contraseña.

Automatización, sin cortar tu propia línea

La autorización de un script es una entrada en la misma lista que tu teléfono, así que cerrar sesiones termina con los scripts. Si un bot o herramienta depende de una sesión que estás a punto de limpiar, crea el reemplazo con tus propias credenciales API primero, confirma que funciona, y solo entonces elimina la antigua.

La forma general se mantiene: mantén la automatización en su propia cuenta en lugar de en una que también use una persona. No porque Telegram publique una regla al respecto, sino porque cuando tienes que limpiar una lista de dispositivos con prisa, quieres que el radio de impacto sea una sola cosa.

Sea lo que sea lo que heredaste, trata la contraseña que vino con ello como la contraseña del vendedor hasta que la hayas reemplazado. En este catálogo, una contraseña de dos pasos ya está configurada en más de la mitad de las cuentas de Telegram activas listadas, y no cuesta nada extra, lo que te dice qué es: no una función que alguien añadió por ti, sino una credencial que otra persona eligió. El FAQ de Telegram cubre dónde están los ajustes, aunque no la regla de las 24 horas, que solo aparece en su documentación de interfaz.