Verificação em Duas Etapas e Sessões de API em uma Conta que Você Não Criou

Você recebeu uma conta do Telegram para uma equipe. Dispositivos antigos continuam conectados em algum lugar, ninguém te passou a senha, e um script ainda precisa de acesso por cima disso. O conselho padrão é limpar os dispositivos primeiro e definir uma senha depois.

Faça nessa ordem e o primeiro passo falha. O Telegram não permite que uma sessão desconecte outra sessão até que ela própria esteja conectada há 24 horas, e o erro diz exatamente isso. A troca de senha não tem essa restrição. Então a sequência que todo mundo repete está invertida, e esta página carregou a versão invertida até agora.

"Login via API" significa três coisas diferentes

Vale esclarecer logo, porque a expressão em inglês se confunde e metade das pessoas que pesquisam quer outra coisa completamente diferente. Das sugestões de busca por "telegram api login", cinco são sobre bots e outra é o Login Widget.

• Um bot. Uma identidade separada com um token do BotFather. Não é uma conta, não pode ser comprado como uma, e nada nesta página se aplica a ele.
• O Login Widget. O botão "Entrar com Telegram" no site de outra pessoa. Ele conecta você àquele site. Não tem nada a ver com controlar uma conta.
• Uma sessão de usuário criada pela API. Um script agindo como uma conta real, usando um API id e hash mais uma autorização armazenada. É essa que importa quando uma conta muda de mãos, e é essa que se quer dizer quando um anúncio menciona um link de login via API.

Na nossa própria prateleira, esse terceiro significado é mais raro do que a sua proeminência sugere: a palavra aparece em apenas uma pequena minoria dos anúncios ativos de Telegram. A maior parte desta prateleira entrega arquivos em vez de um link de login.

O que um registro de sessão realmente contém

Cada autorização na conta, seja de um celular, de um cliente desktop ou de um script, é uma entrada com os mesmos campos. O Telegram os documenta, e ler a lista real é mais útil do que qualquer tabela resumida.

Cada entrada traz o modelo do dispositivo, a plataforma, a versão do sistema, o nome e a versão do app, o API id sob o qual foi criada, quando foi criada, quando foi usada pela última vez, e o último endereço conhecido com país e região. Duas flags valem a pena conhecer porque explicam coisas que as pessoas acham confusas:

• País e região são derivados do endereço, não do dispositivo. As próprias descrições de campos do Telegram dizem que ambos são determinados pelo IP. Uma cidade inesperada geralmente é um artefato de roteamento, não uma evidência.
• Uma sessão pode estar aguardando a senha. Existe uma flag que indica que a sessão ainda não forneceu a senha de dois fatores. Alguém pode estar a um passo da sua conta, com um código válido em mãos e parado na segunda porta, e esse estado fica visível.

O campo API id é o prático para automação. Ele diz qual entrada pertence a qual script, o que importa quando você está prestes a encerrar sessões e não quer cortar a sua própria ferramenta.

A única trava que você pode girar na primeira hora

Trocar a senha de dois fatores funciona imediatamente. Não há período de espera, e é a única ação protetiva disponível no primeiro dia.

O que ela não faz é expulsar ninguém. Uma sessão já ativa não é afetada, e nenhuma quantidade de trocas de senha vai removê-la. O que ela faz é fechar a porta pela qual outra sessão poderia ser adicionada: depois da troca, um novo login com o número de telefone pede uma senha que só você conhece.

Essa distinção é o ponto central. A troca de senha não limpa a conta. Ela impede que a conta fique mais suja enquanto você espera a capacidade de limpá-la.

Sobre o formato, uma correção ao que esta página costumava dizer: o Telegram não publica tamanho mínimo para essa senha nem exigência de misturar classes de caracteres. Qualquer regra que você ler, incluindo a que costumava estar nesta página, é inventada. Escolha algo longo porque isso é sensato, não porque existe uma regra.

Por que a lista de dispositivos tem que esperar um dia

A restrição cobre mais do que o botão óbvio. Encerrar um único dispositivo, encerrar todos os outros dispositivos e definir o tempo de vida da sessão são todos recusados com o mesmo erro pelas mesmas 24 horas. Essa última opção elimina a alternativa de pedir ao Telegram para expirar as sessões antigas por você.

O motivo é defensável quando você o inverte. Se uma sessão nova pudesse encerrar tudo o mais, qualquer um que entrasse com um código interceptado poderia trancar o dono real para fora da própria conta no mesmo minuto. A trava custa um dia ao invasor, e nesse dia o dono legítimo pode agir, porque a sessão dele é antiga o suficiente para ter permissão.

Aplicado a uma transferência, essa proteção está apontada para você. Nas primeiras 24 horas, o detentor anterior pode encerrar a sua sessão, e você não pode encerrar a dele.

Há uma exceção, e ela funciona no sentido contrário. Quando uma sessão nova entra, as sessões já existentes são notificadas e podem rejeitá-la. Se você ainda controla uma sessão antiga na conta, esse é o caminho que encerra um login novo imediatamente, porque a instrução vem de uma sessão antiga, não de uma nova. Se não for respondido, um login não reconhecido se confirma após sete dias.

O endereço de recuperação decide quem é dono da conta

Mais importante que a senha, e rotineiramente ignorado. Um endereço de recuperação apontando para uma caixa de e-mail que você não consegue ler significa que a conta não é duravelmente sua, seja qual for a senha que você definir, porque o endereço é o caminho de volta.

Verifique o que está definido antes de mudar qualquer coisa, e então defina o seu. Se a conta chega com um endereço de recuperação que você não consegue inspecionar e o vendedor não consegue remover, essa é a constatação, e vale levantar enquanto a janela de garantia está aberta. Na maioria dos anúncios de Telegram aqui, essa janela é medida em horas, então essa verificação precisa acontecer cedo ou não acontece.

Se o registro ou a recuperação passa por um número de telefone que você não controla totalmente, um número dedicado de verificação por SMS mantém essa etapa separada da sua linha pessoal.

O prazo de sete dias, e o que realmente o inicia

Se a senha for perdida e nenhum endereço de recuperação estiver definido, o caminho de volta é um reset em vez de uma recuperação, e o Telegram roda um timer de sete dias no servidor antes de concluir. Durante esses sete dias, qualquer um com uma sessão ativa pode cancelar o processo, que é o objetivo do atraso: dar ao dono real uma semana para impedir que um estranho resete a senha dele.

Lido do lado de quem compra, isso corta nos dois sentidos. Um reset que você inicia pode ser cancelado por qualquer outra pessoa que ainda esteja conectada. Mais um motivo pelo qual a lista de dispositivos importa mais do que a senha.

Automação, sem cortar a própria linha

A autorização de um script é uma entrada na mesma lista que o seu celular, então encerrar sessões encerra scripts. Se um bot ou ferramenta depende de uma sessão que você está prestes a limpar, crie a substituição com as suas próprias credenciais de API primeiro, confirme que está funcionando, e só então remova a antiga.

O formato geral se mantém: mantenha a automação em uma conta própria, não em uma que uma pessoa também usa. Não porque o Telegram publica uma regra sobre isso, mas porque quando você precisa limpar uma lista de dispositivos com pressa, quer que o raio de impacto seja uma coisa só.

O que quer que você tenha herdado, trate a senha que veio junto como a senha do vendedor até que você a tenha substituído. Nesta prateleira, uma senha de dois fatores já está definida em bem mais da metade das contas de Telegram ativas listadas, e não custa nada extra, o que diz o que ela é: não um recurso que alguém adicionou para você, mas uma credencial que outra pessoa escolheu. O FAQ do Telegram cobre onde ficam as configurações, embora não a regra das 24 horas, que aparece apenas na documentação da interface dele.