TDATA, .session и .json: Что вы на самом деле получили

Архив открывается, и внутри папка с названием tdata или файл .session рядом с .json. Ни логина, ни пароля, ничего похожего на учётные данные. Первая мысль — продавец прислал не то.

Скорее всего, прислал именно то. Около восьмидесяти процентов объявлений о Telegram передаются именно так, потому что аккаунт Telegram на этом рынке обычно передаётся как живая сессия, а не как логин.

Что именно лежит на диске

• TDATA — это папка, а не файл. Здесь Telegram Desktop хранит своё локальное состояние, включая авторизацию, благодаря которой клиент открывается уже залогиненным. Вы получаете копию этой папки. Внутри будут файлы с именами вроде key_data и подпапка с длинным hex-именем; такая структура нормальна, и переставлять в ней ничего не нужно.
• Файл .session — это небольшая база данных SQLite. В ней хранятся ключ авторизации и адрес дата-центра, с которым была установлена сессия. Библиотеки вроде Telethon и Pyrogram читают её напрямую и подключаются без шага входа.
• .json рядом — это обычный текстовый метаданный файл: API id и hash, под которыми создана сессия, обычно также модель устройства, версия приложения и платформа. Откройте его в любом текстовом редакторе. Сам по себе он ничего не авторизует.

Что нужно вашему инструменту, и почему это важнее, чем кажется

Это не взаимозаменяемые вещи, и ошибка в выборе — самый частый способ потерять деньги здесь.

• Telegram Desktop требует TDATA. Вы закрываете клиент, заменяете его папку данных, открываете снова.
• Telethon, Pyrogram и инструменты на их основе требуют файл .session, и большинству также нужен JSON, чтобы они могли представить ту же API-идентичность, с которой создавалась сессия.
• Мобильные клиенты не требуют ни того, ни другого. Поддерживаемого способа импортировать любой из этих форматов в телефонное приложение нет, и это стоит знать до покупки для рабочего процесса на телефоне.

Разницы в цене между форматами на этой полке нет, так что идти на компромисс незачем. Покупайте тот, который читает ваш инструмент.

Конвертация между ними

Инструменты для конвертации существуют, и это одна из самых частых тем поиска по TDATA, так что стоит быть точным. Извлечение рабочей сессии из папки TDATA — это направление, которое обычно работает, потому что ключ авторизации там можно прочитать. Обратное — создание рабочей папки TDATA из файла сессии — более хрупкое, потому что десктопная установка ожидает немало локального состояния помимо самого ключа.

Два предостережения, которые важнее самой механики. Инструменты конвертации принимают ваш ключ авторизации на вход, а значит, запуск незнакомого инструмента — это передача аккаунта в чужие руки, так что относитесь к этому выбору как к любому паролю. И аккаунт обычно может держать несколько живых сессий одновременно, так что конвертация обычно не аннулирует оригинал; у кого ещё есть копия, у того она и остаётся.

Что проверить, прежде чем доверять файлам

Три проверки, в таком порядке, и все они укладываются в двенадцатичасовое гарантийное окно:

1. Полнота. Папка TDATA не должна быть горсткой случайных файлов, и ни .session, ни .json не должны быть нулевого размера. Откройте JSON и убедитесь, что там действительно есть API id и hash, а не пустые поля.
2. Подключение в том инструменте, которым вы собираетесь пользоваться, из чистой среды. Виртуальная машина или отдельный профиль стоят двух минут, потому что это не даёт тесту смешаться с тем, куда вы уже залогинены.
3. Список активных сессий. Эту проверку пропускают, и она самая важная. Когда вы уже внутри, посмотрите на список авторизованных устройств. Он покажет, кто ещё сейчас держит этот аккаунт, — факт о вашей покупке, который иначе никак не узнать.

Проблема конфликтов, которая на самом деле проблема времени

Копию сессии можно использовать из нескольких мест одновременно. Если у продавца или предыдущего покупателя те же файлы всё ещё загружены где-то, вы оба залогинены одновременно, и ваша активность может вызывать запросы безопасности или выкидывать чужой клиент.

Ничто в формате файла этому не мешает, и очевидного решения нет. Telegram не даст сессии выйти из других сессий, пока она сама не была залогинена в течение двадцати четырёх часов, и отказывает с ошибкой, которая это объясняет. Отказ касается завершения одного устройства, завершения всех остальных и установки срока жизни сессии, так что вы даже не можете попросить короткий срок и дать другим копиям истечь самим.

Это стоит обдумать, потому что переворачивает обычный совет. Гарантийное окно на этой полке в среднем двенадцать часов, так что на большинстве объявлений момент, когда вы наконец сможете вычистить чужих, наступает уже после того, как можно было подать претензию. Скорость это не решает. Ничто это не решает.

Что можно сделать в первый день — две вещи, и именно их стоит планировать. Прочитайте список устройств и запишите, что в нём есть, потому что эта запись — ваше доказательство, пока окно ещё открыто, и это стоит минуты. Затем смените двухэтапный пароль и укажите свой адрес восстановления — на это нет периода ожидания. Это не выгонит копию, которая уже загружена где-то, но помешает добавить ещё одну, а это та половина проблемы, которую вы реально можете закрыть. Очистка самого списка — задача на следующий день.

Почему нет пароля

Потому что вводить нечего. Сессия — это уже завершённая авторизация, поэтому при импорте на телефон не приходит код. Это также значит, что номер телефона, привязанный к аккаунту, — отдельный вопрос: около тридцати пяти процентов объявлений помечены как SMS-verified, что говорит о том, что номер использовался при регистрации, а не о том, что он доступен сейчас. Если Telegram позже запросит код, именно этот номер решит, сможете ли вы ответить.

Точно так же двухфакторный пароль — это отдельное поле. Он установлен чуть менее чем на шестидесяти процентах объявлений, и там, где он есть, для его смены вам понадобится то, что передаст продавец.

Актуальный сток с фильтром по форматам — на полке Telegram-аккаунтов. Более широкое руководство по покупке объясняет, что означают остальные поля объявлений.