Vérification en deux étapes et sessions API sur un compte que vous n'avez pas créé

On vous a confié un compte Telegram pour une équipe. D'anciens appareils sont connectés quelque part, personne ne vous a donné le mot de passe, et un script a besoin d'y accéder en plus. Le conseil habituel est de d'abord déconnecter les appareils, puis de définir un mot de passe.

Faites-le dans cet ordre et la première étape échoue. Telegram ne permet pas à une session de déconnecter une autre session tant qu'elle n'a pas elle-même été connectée pendant 24 heures, et l'erreur le précise. Le changement de mot de passe, lui, n'a aucune restriction de ce genre. La séquence que tout le monde répète est donc inversée, et cette page a véhiculé la version inversée jusqu'à présent.

« Connexion API » signifie trois choses différentes

Il vaut la peine de clarifier d'abord, parce que l'expression anglaise prête à confusion et que la moitié des gens qui la recherchent veulent quelque chose de totalement différent. Parmi les suggestions de recherche pour « telegram api login », cinq concernent les bots et une autre le Login Widget.

• Un bot. Une identité distincte avec un token de BotFather. Ce n'est pas un compte, on ne peut pas l'acheter comme tel, et rien sur cette page ne s'y applique.
• Le Login Widget. Le bouton « Se connecter avec Telegram » sur le site de quelqu'un d'autre. Il vous connecte à ce site. Il n'a rien à voir avec le contrôle d'un compte.
• Une session utilisateur créée via l'API. Un script agissant comme un véritable compte, utilisant un identifiant et un hash API plus une autorisation stockée. C'est celle qui compte quand un compte change de mains, et c'est celle qu'on désigne quand une annonce mentionne un lien de connexion API.

Sur notre propre étagère, cette troisième signification est plus rare que sa visibilité ne le suggère : le terme n'apparaît que dans une petite minorité des annonces Telegram actives. La plupart de cette étagère remet des fichiers plutôt qu'un lien de connexion.

Ce que contient réellement un enregistrement de session

Chaque autorisation sur le compte, qu'elle vienne d'un téléphone, d'un client desktop ou d'un script, est une entrée avec les mêmes champs. Telegram les documente, et lire la liste réelle est plus utile que n'importe quel tableau récapitulatif.

Chaque entrée contient le modèle d'appareil, la plateforme, la version du système, le nom et la version de l'application, l'identifiant API sous lequel elle a été créée, sa date de création, sa dernière activité, et la dernière adresse connue avec un pays et une région. Deux indicateurs méritent d'être connus parce qu'ils expliquent des choses que les gens trouvent déroutantes :

• Le pays et la région sont dérivés de l'adresse, pas de l'appareil. Les descriptions de champs de Telegram précisent que les deux sont déterminés à partir de l'IP. Une ville inattendue est généralement un artefact de routage plutôt qu'une preuve.
• Une session peut attendre le mot de passe. Il existe un indicateur signifiant que la session n'a pas encore fourni le mot de passe à deux étapes. Quelqu'un peut être à une étape de votre compte, détenant un code valide et arrêté à la deuxième porte, et cet état est visible.

Le champ d'identifiant API est le plus pratique pour l'automatisation. Il vous indique quelle entrée appartient à quel script, ce qui compte quand vous êtes sur le point de mettre fin à des sessions et ne voulez pas couper vos propres outils.

La seule serrure que vous pouvez tourner dans la première heure

Changer le mot de passe à deux étapes fonctionne immédiatement. Il n'y a pas de délai d'attente, et c'est la seule action protectrice disponible dès le premier jour.

Ce qu'il ne fait pas, c'est expulser qui que ce soit. Une session déjà active n'est pas affectée, et aucun changement de mot de passe ne la supprimera. Ce qu'il fait, c'est fermer la porte par laquelle une autre session pourrait être ajoutée : après le changement, une nouvelle connexion avec le numéro de téléphone demande un mot de passe que vous seul connaissez.

Cette distinction est tout l'intérêt. Le changement de mot de passe ne nettoie pas le compte. Il empêche le compte de se salir davantage pendant que vous attendez la possibilité de le nettoyer.

Sur le format, une correction à ce que cette page disait auparavant : Telegram ne publie aucune longueur minimale pour ce mot de passe ni aucune exigence de mélange de classes de caractères. Toute règle de ce genre que vous lisez, y compris celle qui figurait sur cette page, est inventée. Choisissez quelque chose de long parce que c'est sensé, pas parce qu'une règle existe.

Pourquoi la liste des appareils doit attendre un jour

La restriction couvre plus que le bouton évident. Mettre fin à un seul appareil, mettre fin à tous les autres appareils, et définir la durée de vie de la session sont tous refusés avec la même erreur pendant les mêmes 24 heures. Ce dernier point ferme la solution de contournement consistant à demander à Telegram d'expirer les anciennes sessions pour vous.

La raison est défendable une fois qu'on l'inverse. Si une nouvelle session pouvait tout terminer, quiconque se connectait avec un code intercepté pourrait verrouiller le véritable propriétaire hors de son propre compte dans la même minute. Le verrou coûte un jour à un attaquant, et pendant ce jour, le véritable propriétaire peut agir, parce que sa session est assez ancienne pour être autorisée à le faire.

Appliquée à une passation, cette protection vous vise. Pendant les premières 24 heures, le détenteur précédent peut mettre fin à votre session et vous ne pouvez pas mettre fin à la sienne.

Il y a une exception, et elle fonctionne dans l'autre sens. Quand une nouvelle session se connecte, les sessions déjà présentes sont notifiées et peuvent la rejeter. Si vous contrôlez encore une session plus ancienne sur le compte, c'est la voie qui met fin à une nouvelle connexion immédiatement, parce que l'instruction vient d'une ancienne session plutôt que d'une nouvelle. Sans réponse, une connexion non reconnue se confirme après sept jours.

L'adresse de récupération décide qui possède le compte

Plus importante que le mot de passe, et régulièrement négligée. Une adresse de récupération pointant vers une boîte mail que vous ne pouvez pas lire signifie que le compte n'est pas durablement à vous, quel que soit le mot de passe que vous y définissez, parce que l'adresse est la voie de retour.

Vérifiez ce qui est défini avant de changer quoi que ce soit, puis définissez la vôtre. Si le compte arrive avec une adresse de récupération que vous ne pouvez pas inspecter et que le vendeur ne peut pas retirer, c'est le constat, et il vaut la peine de le soulever pendant que la fenêtre de garantie est ouverte. Sur la plupart des annonces Telegram ici, cette fenêtre se mesure en heures, donc cette vérification doit avoir lieu tôt ou pas du tout.

Si l'inscription ou la récupération passe par un numéro de téléphone que vous ne contrôlez pas entièrement, un numéro dédié de vérification SMS garde cette étape séparée de votre ligne personnelle.

L'horloge de sept jours, et ce qui la déclenche réellement

Si le mot de passe est perdu et qu'aucune adresse de récupération n'est définie, la voie de retour est une réinitialisation plutôt qu'une récupération, et Telegram lance un minuteur côté serveur de sept jours avant de la compléter. Pendant ces sept jours, toute personne détenant une session active peut l'annuler, ce qui est le but du délai : donner au véritable propriétaire une semaine pour empêcher un étranger de réinitialiser son mot de passe.

Lu du côté acheteur, cela coupe dans les deux sens. Une réinitialisation que vous lancez peut être annulée par quiconque est encore connecté. Une raison de plus pour laquelle la liste des appareils compte plus que le mot de passe.

Automatisation, sans couper votre propre ligne

L'autorisation d'un script est une entrée dans la même liste que votre téléphone, donc mettre fin à des sessions met fin à des scripts. Si un bot ou un outil dépend d'une session que vous êtes sur le point de supprimer, créez d'abord le remplaçant sous vos propres identifiants API, confirmez qu'il fonctionne, puis seulement retirez l'ancien.

La forme générale tient : gardez l'automatisation sur son propre compte plutôt que sur un compte qu'une personne utilise aussi. Pas parce que Telegram publie une règle à ce sujet, mais parce que quand vous devez vider une liste d'appareils en urgence, vous voulez que le rayon d'impact soit une seule chose.

Quoi que vous ayez hérité, traitez le mot de passe qui l'accompagnait comme le mot de passe du vendeur jusqu'à ce que vous l'ayez remplacé. Sur cette étagère, un mot de passe à deux étapes est déjà défini sur bien plus de la moitié des comptes Telegram actifs listés, et cela ne coûte rien de plus, ce qui vous dit ce que c'est : non pas une fonctionnalité ajoutée pour vous, mais un identifiant choisi par quelqu'un d'autre. La FAQ de Telegram couvre où se trouvent les paramètres, mais pas la règle des 24 heures, qui n'apparaît que dans sa documentation d'interface.