पासवर्ड, टोकन, सेशन, OAuth2: लिस्टिंग्स इन शब्दों से क्या मतलब निकालती हैं

लिस्टिंग में बताया जाता है कि आपको क्या मिलेगा, और इसके लिए डेवलपर डॉक्यूमेंटेशन के शब्द इस्तेमाल होते हैं: token, session, OAuth2। जिसने भी कभी API के साथ काम किया है, उसने ये तीनों शब्द देखे हैं, और यही समस्या है — क्योंकि लिस्टिंग में इनमें से हर एक का मतलब उस डॉक्यूमेंटेशन से कहीं ज़्यादा सीमित और खास होता है जहाँ से ये शब्द आए हैं।

इसे गलत समझना यहाँ सबसे महंगी गलती साबित हो सकती है, क्योंकि फॉर्मेट का मेल न खाना आमतौर पर आंशिक नुकसान नहीं, बल्कि पूरा नुकसान होता है। अकाउंट बिल्कुल वैसा ही हो सकता है जैसा बताया गया था, फिर भी वह उस काम के लिए बेकार हो सकता है जिसके लिए आपने उसे खरीदा था।

सिर्फ पासवर्ड

आपको मिलता है: एक आइडेंटिफायर और एक पासवर्ड। और कुछ नहीं।

यह इकलौता ऐसा फॉर्मेट है जिसमें कोई छिपा हुआ मतलब नहीं है, और यह ध्यान देने लायक है कि इसमें क्या शामिल नहीं है। कोई दूसरा फैक्टर नहीं है, जो दो तरह से असर करता है: आप तुरंत अपना खुद का सेट कर सकते हैं, और जिसके पास भी यही क्रेडेंशियल हों, वह भी ऐसा कर सकता है। अगर मूल रजिस्ट्रेंट के पास अब भी रिकवरी का कोई रास्ता है, तो पासवर्ड सबसे कमज़ोर स्थिति है, क्योंकि रिकवरी फ्लो बिल्कुल इसी चीज़ को रीसेट करने के लिए बनाया जाता है।

कभी-कभार लॉगिन करने के लिए ठीक है। कुछ ऐसा रखने के लिए जिसे आप लंबे समय तक बनाए रखना चाहते हैं, यह खराब विकल्प है।

पासवर्ड प्लस दूसरा फैक्टर

आपको मिलता है: उपरोक्त सब कुछ, साथ ही वह चीज़ जो दूसरे चरण को पूरा करती है। और यहीं पर लिस्टिंग तीन बिल्कुल अलग चीज़ों को एक ही शब्द में समेट देती हैं।

• एक शेयर्ड सीक्रेट (ऑथेंटिकेटर ऐप के पीछे का सीड) का मतलब है कि आप खुद ही अनिश्चित काल तक कोड जनरेट कर सकते हैं। यह मज़बूत वाला वर्जन है।
• बैकअप कोड की एक सूची सीमित संख्या में एक बार इस्तेमाल होने वाले कोड होते हैं। एक बार खत्म हो जाने पर, आप बाहर हो जाते हैं जब तक कि आपने तब तक फैक्टर बदल न लिया हो।
• क्लाउड पासवर्ड, जैसा कि Telegram इस्तेमाल करता है, एक फिक्स्ड स्ट्रिंग है, न कि बदलता रहने वाला कोड।

लिस्टिंग से पूछने वाला सवाल यह है कि आपको इन तीनों में से कौन सा मिल रहा है, क्योंकि "2FA शामिल है" इन सबको कवर करता है और ये सभी एक जैसे नहीं हैं। जिस दूसरे फैक्टर को आप दोबारा जनरेट नहीं कर सकते, वह सुरक्षा सुविधा नहीं, बल्कि एक उल्टी गिनती है।

Token या API key

आपको मिलता है: एक क्रेडेंशियल स्ट्रिंग जो प्लेटफ़ॉर्म ने जारी की है, आमतौर पर उसके साथ कोई पासवर्ड नहीं होता।

यहीं पर डेवलपर वाले मतलब से फर्क है। API डॉक्यूमेंटेशन में token आमतौर पर ऐसी चीज़ होती है जिसे आप खुद बनाते हैं और जब चाहें दोबारा बना सकते हैं। लिस्टिंग में यह एक ऐसा क्रेडेंशियल है जो पहले से मौजूद है, जिसे आपने नहीं बनाया, और जिसे आप आमतौर पर नवीनीकृत नहीं कर सकते। जब यह एक्सपायर होता है या रद्द किया जाता है, तो यह चला जाता है, और बिना अंतर्निहित पासवर्ड के कुछ भी बैकअप नहीं बचता।

दूसरा फर्क भी उतना ही मायने रखता है: token आमतौर पर सामान्य वेब इंटरफ़ेस से लॉगिन करने के काम नहीं आता। अगर आपकी योजना लॉगिन करके क्लिक करने की थी, तो token वह काम नहीं करेगा, चाहे वह कितना भी वैध क्यों न हो।

Session फ़ाइलें

आपको मिलता है: पहले से पूरा किया गया साइन-इन दर्शाने वाला डेटा, जैसे Telegram का TDATA फ़ोल्डर या .session फ़ाइल, या किसी वेब प्लेटफ़ॉर्म के लिए ब्राउज़र कुकीज़।

सबसे अहम बात, और जिसके बारे में खरीदते समय लगभग कोई नहीं सोचता: session एक कॉपी है, और कॉपियाँ एक-दूसरे को बाहर नहीं करतीं। कई लोग एक ही session को एक साथ रख सकते हैं और सभी लॉग इन रह सकते हैं। session मिलने से यह पता नहीं चलता कि किसी और के पास भी यह अब भी है या नहीं।

पता लगाने का एकमात्र तरीका यह है कि आप अंदर जाकर प्लेटफ़ॉर्म की अधिकृत डिवाइस या सक्रिय session की सूची देखें, और जिन्हें आप नहीं पहचानते उन्हें खत्म कर दें। इसे सामान मिलने का हिस्सा मानें, न कि कोई ऐच्छिक सुरक्षा कदम, और इसे तब करें जब शिकायत करने का समय बाकी हो।

OAuth2

आपको मिलता है: एक refresh token, साथ ही वह client id और secret जिसके तहत इसे जारी किया गया था।

यह वह फॉर्मेट है जिसमें अधूरापन सबसे आम और सबसे कम स्पष्ट होता है। Refresh token का काम नए access token के बदले में दिया जाना है, लेकिन इस आदान-प्रदान के लिए उन client credentials की ज़रूरत होती है जिनके तहत इसे जारी किया गया था। Refresh token उनके बिना मिले तो आपके पास एक ऐसी स्ट्रिंग होती है जो तब तक चलती है जब तक मौजूदा access token एक्सपायर न हो जाए, और फिर हमेशा के लिए बंद हो जाती है।

डिलीवरी के समय सब कुछ ठीक दिखता है, और यही असली समस्या है। जाँच यह नहीं है कि "क्या यह अभी काम करता है" बल्कि "क्या मैं refresh कर सकता हूँ" — और ये दो अलग-अलग परीक्षण हैं। दूसरा परीक्षण करें।

बाज़ार फॉर्मेट की कीमत कैसे लगाता है, जो असंगत है

यह जानना ज़रूरी है क्योंकि इससे तय होता है कि मोलभाव करना कहाँ फायदेमंद है:

• Telegram पर फॉर्मेट की कोई अलग कीमत ही नहीं है। TDATA, session और JSON लिस्टिंग एक ही स्तर पर होती हैं, इसलिए गलत फॉर्मेट स्वीकार करने का कोई कारण नहीं है।
• कुछ मेलबॉक्स शेल्फ़ पर प्रोटोकॉल एक्सेस सबसे सस्ता मापा जाने वाला गुण है, जो प्रभावी रूप से मुफ़्त है, जबकि वेरिफिकेशन गुणों की कीमत मध्य मूल्य से लगभग दोगुनी होती है। "मेरा टूल कनेक्ट हो सकता है" के लिए ऑप्टिमाइज़ करने वाला खरीदार मुफ़्त वाली धुरी पर ऑप्टिमाइज़ कर रहा है।
• एक मेलबॉक्स शेल्फ़ पर वही प्रोटोकॉल गुण मध्य मूल्य से लगभग दोगुना है — यह अकेली जगह है जहाँ यह उलटा दिखता है। कैटेगरी की आदतें एक जगह से दूसरी जगह नहीं जातीं।

इसलिए उपयोगी सामान्यीकरण यह है कि कोई सामान्यीकरण नहीं है। जिस शेल्फ़ से आप वास्तव में खरीद रहे हैं, वहाँ फॉर्मेट की कीमत पढ़ें।

कौन सी गलतियों से आप वापस आ सकते हैं

पूरे कैटलॉग में डिलीवरी तुरंत होती है और वारंटी विंडो का मध्यमान बारह घंटे है, इसलिए नीचे दी गई हर जाँच तुरंत उपलब्ध है और इनमें से कोई भी बाद में उपलब्ध नहीं होगी।

• वापसी संभव: ऐसा फॉर्मेट मिलना जिसे आपका टूल पढ़ नहीं सकता, अगर आप विंडो के अंदर ध्यान दें। यह लिस्टिंग के मुकाबले एक साफ़, तथ्यात्मक बेमेल है।
• वापसी संभव अगर आप देखें: ऐसा session जो किसी और के पास भी है, लेकिन केवल तभी जब आप डिवाइस सूची जाँचें, न कि मान लें।
• आमतौर पर वापसी संभव नहीं: OAuth2 refresh token बिना उसके client credentials के, अगर आपने केवल यह जाँचा कि मौजूदा access token काम करता है। जब तक यह फेल होता है, विंडो काफी समय पहले बंद हो चुकी होती है।
• बिल्कुल वापसी संभव नहीं: खर्च हो चुके बैकअप कोड। इसका कोई अच्छा अंत नहीं होता, यही वजह है कि आपको किस तरह का दूसरा फैक्टर दिया गया था, यह पहचानना सूची में सबसे ऊपर होना चाहिए।

Telegram-विशिष्ट संस्करण, जिसमें TDATA और session फ़ाइलों की विस्तार से चर्चा है, उस शेल्फ़ के बारे में और गहराई में जाता है। खरीदारी-पूर्व चेकलिस्ट इन फॉर्मेट से जुड़ी जाँचों को कवर करती है।