Xác minh hai bước và Phiên API trên tài khoản bạn không tạo ra

Bạn vừa nhận được một tài khoản Telegram cho cả nhóm. Thiết bị cũ vẫn đang đăng nhập ở đâu đó, không ai cho bạn biết mật khẩu, và một script cũng cần quyền truy cập. Lời khuyên thông thường là xóa thiết bị trước rồi mới đặt mật khẩu sau.

Làm theo thứ tự đó thì bước đầu tiên sẽ thất bại. Telegram sẽ không cho một phiên đăng nhập đăng xuất phiên khác cho đến khi chính nó đã đăng nhập được 24 giờ, và lỗi sẽ nói rõ điều đó. Việc đổi mật khẩu thì không bị giới hạn như vậy. Vậy nên trình tự mà ai cũng lặp lại là sai, và trang này đã đăng phiên bản sai đó cho đến bây giờ.

"API login" thực ra có ba nghĩa khác nhau

Nên làm rõ trước, vì cụm từ tiếng Anh này dễ gây nhầm lẫn và một nửa số người tìm kiếm nó lại muốn thứ gì đó hoàn toàn khác. Trong các gợi ý tìm kiếm cho "telegram api login", năm cái là về bot và một cái khác là Login Widget.

• Bot. Một danh tính riêng biệt với token từ BotFather. Nó không phải là tài khoản, không thể mua như tài khoản, và không có gì trên trang này áp dụng cho bot.
• Login Widget. Nút "Đăng nhập bằng Telegram" trên website của người khác. Nó đăng nhập bạn vào trang web đó. Nó chẳng liên quan gì đến việc điều khiển một tài khoản.
• Phiên người dùng được tạo qua API. Một script hoạt động như một tài khoản thật, dùng API id và hash cùng với một ủy quyền đã lưu. Đây là thứ quan trọng khi tài khoản đổi chủ, và cũng là thứ được nhắc đến khi một danh sách rao bán đề cập đến liên kết đăng nhập API.

Trên kệ của chúng tôi, nghĩa thứ ba này hiếm hơn so với mức độ nổi bật của nó: từ này chỉ xuất hiện trong một phần nhỏ các danh sách Telegram đang hoạt động. Phần lớn kệ này bàn giao file chứ không phải liên kết đăng nhập.

Bản ghi phiên thực sự chứa những gì

Mỗi ủy quyền trên tài khoản, dù đến từ điện thoại, ứng dụng desktop hay script, đều là một mục với các trường giống nhau. Telegram có tài liệu về chúng, và đọc danh sách thật sẽ hữu ích hơn bất kỳ bảng tóm tắt nào.

Mỗi mục mang theo model thiết bị, nền tảng, phiên bản hệ điều hành, tên và phiên bản ứng dụng, API id mà nó được tạo dưới đó, thời điểm tạo, lần hoạt động cuối, và địa chỉ cuối cùng kèm quốc gia và vùng. Có hai cờ đáng để biết vì chúng giải thích những điều khiến người ta bối rối:

• Quốc gia và vùng được suy ra từ địa chỉ, không phải từ thiết bị. Mô tả trường của Telegram nói rõ cả hai đều được xác định từ IP. Một thành phố bất ngờ thường là do định tuyến chứ không phải bằng chứng gì cả.
• Một phiên có thể đang chờ mật khẩu. Có một cờ nghĩa là phiên đó chưa cung cấp mật khẩu hai bước. Ai đó có thể đang tiến được một bước vào tài khoản của bạn, giữ một mã hợp lệ và bị chặn ở cửa thứ hai, và trạng thái đó hiển thị được.

Trường API id là thứ thực dụng nhất cho việc tự động hóa. Nó cho bạn biết mục nào thuộc về script nào, điều quan trọng khi bạn sắp kết thúc các phiên và không muốn cắt đứt công cụ của chính mình.

Khóa duy nhất bạn có thể xoay trong giờ đầu tiên

Đổi mật khẩu hai bước hoạt động ngay lập tức. Không có thời gian chờ đợi nào cho việc này, và đây là hành động bảo vệ duy nhất có thể làm trong ngày đầu tiên.

Điều nó không làm là đuổi ai ra ngoài. Một phiên đang chạy không bị ảnh hưởng, và đổi mật khẩu bao nhiêu lần cũng không loại bỏ được nó. Điều nó làm là đóng cánh cửa mà qua đó một phiên khác có thể được thêm vào: sau khi đổi, một lần đăng nhập mới bằng số điện thoại sẽ được yêu cầu mật khẩu mà chỉ bạn biết.

Sự khác biệt đó chính là toàn bộ vấn đề. Đổi mật khẩu không làm sạch tài khoản. Nó ngăn tài khoản bẩn thêm trong lúc bạn chờ đủ điều kiện để làm sạch nó.

Về định dạng, một điều chỉnh so với những gì trang này từng nói: Telegram không công bố độ dài tối thiểu cho mật khẩu này và cũng không yêu cầu kết hợp các loại ký tự. Bất kỳ quy tắc nào bạn đọc được, kể cả quy tắc từng nằm trên trang này, đều là bịa đặt. Hãy chọn một mật khẩu dài vì đó là điều hợp lý, chứ không phải vì có quy tắc nào đó.

Vì sao danh sách thiết bị phải chờ một ngày

Giới hạn này bao trùm nhiều hơn nút bấm hiển nhiên. Kết thúc một thiết bị, kết thúc tất cả thiết bị khác, và đặt thời gian hết hạn phiên đều bị từ chối với cùng một lỗi trong cùng 24 giờ. Điều cuối cùng đó chặn luôn cách lách luật là nhờ Telegram tự hết hạn các phiên cũ cho bạn.

Lý do là hợp lý khi bạn đảo ngược nó lại. Nếu một phiên mới có thể kết thúc mọi thứ khác, thì bất kỳ ai đăng nhập bằng mã bị đánh cắp đều có thể khóa chủ thật khỏi tài khoản của chính họ trong cùng một phút. Khóa này khiến kẻ tấn công phải chờ một ngày, và trong ngày đó chủ thật có thể hành động, vì phiên của họ đủ cũ để được phép.

Áp dụng vào việc bàn giao, sự bảo vệ đó đang nhắm vào bạn. Trong 24 giờ đầu, người giữ trước có thể kết thúc phiên của bạn còn bạn thì không thể kết thúc phiên của họ.

Có một ngoại lệ, và nó chạy theo chiều ngược lại. Khi một phiên mới đăng nhập, các phiên đã tồn tại được thông báo và có thể từ chối nó. Nếu bạn vẫn kiểm soát một phiên cũ hơn trên tài khoản, đó là con đường kết thúc một lần đăng nhập mới ngay lập tức, vì lệnh đến từ một phiên cũ chứ không phải phiên mới. Nếu không bị phản hồi, một lần đăng nhập không được nhận diện sẽ tự xác nhận sau bảy ngày.

Địa chỉ khôi phục quyết định ai là chủ tài khoản

Quan trọng hơn mật khẩu, và thường bị bỏ qua. Một địa chỉ khôi phục trỏ đến hộp thư bạn không đọc được nghĩa là tài khoản không thực sự thuộc về bạn lâu dài, dù bạn đặt mật khẩu gì đi nữa, vì địa chỉ đó là con đường quay lại.

Kiểm tra xem đã đặt gì trước khi thay đổi bất cứ thứ gì, rồi mới đặt của riêng bạn. Nếu tài khoản đến với một địa chỉ khôi phục bạn không thể kiểm tra và người bán không thể gỡ bỏ, đó chính là phát hiện quan trọng, và đáng để nêu lên khi cửa sổ bảo hành còn mở. Trên hầu hết các danh sách Telegram ở đây, cửa sổ đó tính bằng giờ, nên việc kiểm tra này phải làm sớm hoặc không bao giờ.

Nếu việc đăng ký hoặc khôi phục đi qua một số điện thoại bạn không kiểm soát hoàn toàn, một số xác minh SMS chuyên dụng sẽ giữ bước đó tách biệt với số cá nhân của bạn.

Đồng hồ bảy ngày, và điều gì thực sự khởi động nó

Nếu mất mật khẩu và không có địa chỉ khôi phục nào được đặt, con đường quay lại là đặt lại chứ không phải khôi phục, và Telegram chạy một bộ đếm thời gian phía máy chủ trong bảy ngày trước khi hoàn tất. Trong bảy ngày đó, bất kỳ ai giữ một phiên hoạt động đều có thể hủy nó, và đó chính là mục đích của sự trì hoãn: nó cho chủ thật một tuần để ngăn người lạ đặt lại mật khẩu của họ.

Nhìn từ phía người mua, điều này cắt cả hai chiều. Một lần đặt lại bạn khởi động có thể bị hủy bởi bất kỳ ai khác vẫn đang đăng nhập. Đó là một lý do nữa khiến danh sách thiết bị quan trọng hơn mật khẩu.

Tự động hóa, mà không cắt đứt đường dây của chính mình

Ủy quyền của một script là một mục trong cùng danh sách với điện thoại của bạn, nên kết thúc phiên đồng nghĩa với kết thúc script. Nếu một bot hoặc công cụ phụ thuộc vào phiên bạn sắp xóa, hãy tạo phiên thay thế dưới thông tin API của chính bạn trước, xác nhận nó hoạt động, rồi mới gỡ phiên cũ.

Cấu trúc chung vẫn vậy: giữ tự động hóa trên một tài khoản riêng thay vì tài khoản mà con người cũng dùng. Không phải vì Telegram công bố quy tắc nào về điều đó, mà vì khi bạn phải xóa danh sách thiết bị trong lúc gấp gáp, bạn muốn phạm vi ảnh hưởng chỉ là một thứ duy nhất.

Dù bạn thừa hưởng bất cứ thứ gì, hãy coi mật khẩu đi kèm là mật khẩu của người bán cho đến khi bạn thay nó. Trên kệ này, hơn một nửa số tài khoản Telegram đang hoạt động đã có sẵn mật khẩu hai bước, và nó không tốn thêm gì, điều đó cho bạn biết nó là gì: không phải tính năng ai đó thêm cho bạn, mà là thông tin đăng nhập do người khác chọn. FAQ của Telegram giải thích nơi các cài đặt nằm, nhưng không đề cập quy tắc 24 giờ, thứ chỉ xuất hiện trong tài liệu giao diện của họ.