दो-चरणीय सत्यापन और API सत्र उस खाते पर जो आपने नहीं बनाया

आपको एक टीम के लिए टेलीग्राम अकाउंट सौंपा गया है। कहीं पुराने डिवाइस साइन इन हैं, किसी ने आपको पासवर्ड नहीं बताया, और ऊपर से एक स्क्रिप्ट को भी एक्सेस चाहिए। सामान्य सलाह यही है कि पहले डिवाइस हटाएँ और फिर पासवर्ड सेट करें।

इसी क्रम में करेंगे तो पहला कदम ही फेल हो जाएगा। टेलीग्राम किसी सेशन को तब तक दूसरे सेशन को लॉग आउट नहीं करने देगा जब तक वह खुद 24 घंटे से साइन इन न हो, और एरर में यह बात साफ लिखी होती है। पासवर्ड बदलने पर ऐसी कोई पाबंदी नहीं है। तो जो क्रम हर कोई दोहराता है, वह उल्टा है, और इस पेज पर अब तक यही उल्टा संस्करण छपा हुआ था।

"API लॉगिन" के तीन अलग मतलब हैं

पहले यह तय कर लेना ज़रूरी है, क्योंकि अंग्रेज़ी शब्द टकराते हैं और आधे लोग जो इसे खोजते हैं, उन्हें कुछ और ही चाहिए होता है। "टेलीग्राम एपीआई लॉगिन" की खोज सुझावों में से पाँच बॉट्स के बारे में हैं और एक लॉगिन विजेट के बारे में है।

• बॉट। BotFather से टोकन वाली एक अलग पहचान। यह अकाउंट नहीं है, इसे खरीदा नहीं जा सकता, और इस पेज की कोई बात इस पर लागू नहीं होती।
• लॉगिन विजेट। किसी और की वेबसाइट पर "टेलीग्राम से लॉगिन करें" बटन। यह आपको उस साइट में साइन इन कराता है। इसका अकाउंट कंट्रोल करने से कोई लेना-देना नहीं है।
• API के ज़रिए बनाया गया यूज़र सेशन। एक स्क्रिप्ट जो असली अकाउंट की तरह काम करती है, जिसमें API आईडी और हैश के साथ एक सेव किया हुआ ऑथराइज़ेशन होता है। जब अकाउंट हाथ बदलता है तो यही मायने रखता है, और जब किसी लिस्टिंग में API लॉगिन लिंक का ज़िक्र होता है तो यही मतलब होता है।

हमारी अपनी शेल्फ पर यह तीसरा मतलब अपनी प्रमुखता से कहीं कम पाया जाता है: यह शब्द टेलीग्राम की लाइव लिस्टिंग्स में बहुत कम संख्या में ही दिखता है। इस शेल्फ का ज़्यादातर हिस्सा लॉगिन लिंक की बजाय फाइलें सौंपता है।

सेशन रिकॉर्ड में असल में क्या होता है

अकाउंट पर हर ऑथराइज़ेशन — चाहे वह फोन से आया हो, डेस्कटॉप क्लाइंट से या स्क्रिप्ट से — एक ही एंट्री है जिसमें समान फील्ड होते हैं। टेलीग्राम इन्हें दस्तावेज़ित करता है, और असली सूची पढ़ना किसी भी सारांश तालिका से ज़्यादा उपयोगी है।

हर एंट्री में डिवाइस मॉडल, प्लेटफ़ॉर्म, सिस्टम वर्ज़न, ऐप का नाम और वर्ज़न, जिस API आईडी के तहत बनाया गया, कब बनाया गया, आखिरी बार कब सक्रिय था, और देश व क्षेत्र सहित अंतिम ज्ञात पता होता है। दो फ़्लैग ऐसे हैं जिन्हें जानना फायदेमंद है क्योंकि वे उन चीज़ों को समझाते हैं जो लोगों को उलझन में डालती हैं:

• देश और क्षेत्र पते से लिए गए हैं, डिवाइस से नहीं। टेलीग्राम के अपने फील्ड विवरण कहते हैं कि दोनों IP से निर्धारित होते हैं। कोई अप्रत्याशित शहर आमतौर पर सबूत नहीं, बल्कि रूटिंग का एक आर्टिफैक्ट होता है।
• एक सेशन पासवर्ड का इंतज़ार कर रहा हो सकता है। एक फ़्लैग होता है जिसका मतलब है कि सेशन ने अभी तक टू-स्टेप पासवर्ड नहीं दिया है। कोई व्यक्ति आपके अकाउंट में एक कदम अंदर हो सकता है, उसके पास वैध कोड है और वह दूसरे दरवाज़े पर रुका है — और यह स्थिति दिखाई देती है।

API आईडी फील्ड ऑटोमेशन के लिए सबसे व्यावहारिक है। यह बताता है कि कौन सी एंट्री किस स्क्रिप्ट की है, जो तब मायने रखता है जब आप सेशन खत्म करने वाले हों और अपना खुद का टूल नहीं काटना चाहते।

पहले घंटे में आप एक ही ताला घुमा सकते हैं

टू-स्टेप पासवर्ड बदलना तुरंत काम करता है। इस पर कोई प्रतीक्षा अवधि नहीं है, और पहले दिन यही एकमात्र सुरक्षात्मक कदम उपलब्ध है।

यह किसी को बाहर नहीं निकालता। पहले से चल रहा सेशन प्रभावित नहीं होता, और कितना भी पासवर्ड बदल लें, वह हटेगा नहीं। यह उस दरवाज़े को बंद करता है जिससे कोई और सेशन जुड़ सकता था: बदलाव के बाद, फोन नंबर से नए साइन-इन पर एक पासवर्ड मांगा जाता है जो केवल आप जानते हैं।

यही अंतर पूरी बात है। पासवर्ड बदलने से अकाउंट साफ नहीं होता। यह अकाउंट को और गंदा होने से रोकता है जब तक आप उसे साफ करने की क्षमता का इंतज़ार करते हैं।

फॉर्मेट पर, इस पेज पर पहले जो लिखा था उसमें एक सुधार: टेलीग्राम इस पासवर्ड के लिए कोई न्यूनतम लंबाई या कैरेक्टर क्लास मिलाने की आवश्यकता प्रकाशित नहीं करता। ऐसा कोई भी नियम जो आप पढ़ते हैं — जिसमें वह भी शामिल है जो पहले इस पेज पर था — मनगढ़ंत है। कुछ लंबा चुनें क्योंकि यह समझदारी है, न कि इसलिए कि कोई नियम मौजूद है।

डिवाइस सूची को एक दिन क्यों इंतज़ार करना पड़ता है

यह पाबंदी सिर्फ ज़ाहिर बटन तक सीमित नहीं है। एक डिवाइस खत्म करना, बाकी सभी डिवाइस खत्म करना, और सेशन का टाइम-टू-लिव सेट करना — सब उसी 24 घंटे के लिए उसी एरर के साथ अस्वीकार कर दिए जाते हैं। आखिरी वाला उस तरकीब को बंद कर देता है जिसमें आप टेलीग्राम से पुराने सेशन खुद खत्म करवाने की कोशिश करते।

कारण तब समझ आता है जब आप इसे उल्टा देखते हैं। अगर एक नया सेशन बाकी सब कुछ खत्म कर सकता, तो कोई भी जो चुराए गए कोड से साइन इन करता, उसी मिनट में असली मालिक को उसके अपने अकाउंट से बाहर कर सकता था। यह ताला हमलावर को एक दिन की कीमत चुकाता है, और उस दिन में असली मालिक कदम उठा सकता है, क्योंकि उसका सेशन इतना पुराना है कि उसे अनुमति मिल जाए।

हैंडओवर पर लागू करें तो यह सुरक्षा आपकी ओर इशारा कर रही है। पहले 24 घंटों में पिछला धारक आपका सेशन खत्म कर सकता है और आप उनका नहीं।

एक अपवाद है, और वह उल्टी दिशा में चलता है। जब कोई नया सेशन साइन इन करता है, तो पहले से मौजूद सेशन को सूचित किया जाता है और वे उसे अस्वीकार कर सकते हैं। अगर आपका अकाउंट पर कोई पुराना सेशन अभी भी नियंत्रित है, तो यही वह रास्ता है जो नए लॉगिन को तुरंत खत्म करता है, क्योंकि निर्देश नए सेशन की बजाय पुराने सेशन से आता है। अनुत्तरित छोड़ दिया जाए तो, एक अपरिचित लॉगिन सात दिनों के बाद खुद को पुष्टि कर लेता है।

रिकवरी पता तय करता है कि अकाउंट किसका है

पासवर्ड से भी ज़्यादा महत्वपूर्ण, और अक्सर छोड़ दिया जाता है। एक रिकवरी पता जो ऐसे मेलबॉक्स की ओर इशारा करता है जिसे आप पढ़ नहीं सकते, इसका मतलब है कि अकाउंट स्थायी रूप से आपका नहीं है, चाहे आप उस पर कोई भी पासवर्ड सेट कर लें, क्योंकि वह पता वापस आने का रास्ता है।

कुछ भी बदलने से पहले देखें कि क्या सेट है, फिर अपना खुद का सेट करें। अगर अकाउंट ऐसे रिकवरी पते के साथ आता है जिसे आप जांच नहीं सकते और विक्रेता हटा नहीं सकता, तो यही निष्कर्ष है, और वारंटी विंडो खुली रहते इसे उठाना उचित है। यहाँ अधिकांश टेलीग्राम लिस्टिंग्स पर यह विंडो घंटों में मापी जाती है, इसलिए यह जांच जल्दी करनी होगी या बिल्कुल नहीं।

अगर रजिस्ट्रेशन या रिकवरी किसी ऐसे फोन नंबर से होती है जिस पर आपका पूरा नियंत्रण नहीं है, तो एक समर्पित SMS वेरिफिकेशन नंबर उस कदम को आपकी निजी लाइन से अलग रखता है।

सात दिन की घड़ी, और इसे असल में क्या शुरू करता है

अगर पासवर्ड खो गया है और कोई रिकवरी पता सेट नहीं है, तो वापसी का रास्ता रिकवरी नहीं बल्कि रीसेट है, और टेलीग्राम पूरा होने से पहले सात दिन का सर्वर-साइड टाइमर चलाता है। उन सात दिनों के दौरान कोई भी जिसके पास काम करने वाला सेशन है, उसे रद्द कर सकता है — देरी का यही मतलब है: यह असली मालिक को एक सप्ताह देता है ताकि वह किसी अजनबी को अपना पासवर्ड रीसेट करने से रोक सके।

खरीदार की तरफ से पढ़ें तो यह दोधारी है। आपके द्वारा शुरू किया गया रीसेट कोई और जो अभी भी साइन इन है, रद्द कर सकता है। एक और कारण कि डिवाइस सूची पासवर्ड से ज़्यादा मायने रखती है।

ऑटोमेशन, बिना अपनी लाइन काटे

एक स्क्रिप्ट का ऑथराइज़ेशन उसी सूची में एक एंट्री है जिसमें आपका फोन है, इसलिए सेशन खत्म करने का मतलब स्क्रिप्ट खत्म करना है। अगर कोई बॉट या टूल उस सेशन पर निर्भर है जिसे आप हटाने वाले हैं, तो पहले अपनी खुद की API क्रेडेंशियल्स के तहत रिप्लेसमेंट बनाएँ, पुष्टि करें कि वह काम कर रहा है, और उसके बाद ही पुराने को हटाएँ।

सामान्य ढाँचा यही है: ऑटोमेशन को अपने अलग अकाउंट पर रखें, न कि उस अकाउंट पर जिसे कोई इंसान भी इस्तेमाल करता है। इसलिए नहीं कि टेलीग्राम ने इसके बारे में कोई नियम प्रकाशित किया है, बल्कि इसलिए कि जब आपको जल्दी में डिवाइस सूची साफ करनी हो, तो आप चाहते हैं कि असर का दायरा सिर्फ एक चीज़ हो।

जो कुछ भी आपको विरासत में मिला है, उसके साथ आए पासवर्ड को तब तक विक्रेता का पासवर्ड मानें जब तक आप उसे बदल न दें। इस शेल्फ पर लाइव टेलीग्राम अकाउंट्स में से आधे से ज़्यादा पर टू-स्टेप पासवर्ड पहले से सेट है, और इसके लिए कोई अतिरिक्त कीमत नहीं है — जो बताता है कि यह क्या है: कोई सुविधा नहीं जो किसी ने आपके लिए जोड़ी, बल्कि एक क्रेडेंशियल है जो किसी और ने चुना। टेलीग्राम का FAQ बताता है कि सेटिंग्स कहाँ हैं, हालाँकि 24 घंटे का नियम नहीं, जो केवल उसके इंटरफ़ेस दस्तावेज़ीकरण में दिखता है।