Telegram botları ne kadar güvenli

11 Tem 20:31

Telegram botlarının güvenliği aslında iki ana katmana ayırmak lazım: bot'un kendisi ve Telegram'ın API altyapısı. Botlar, API üzerinden kullanıcı adına işlem yapmaları için *Bot API Token* denen bir erişim anahtarı kullanırlar. Bu token sayesinde bot, hesabınıza kayıtlı gruplardaki mesajlara, kullanıcı bilgilerine vs. erişebilir. Ama buradaki kritik nokta, botun bu erişimi *nasıl ve hangi koşullarda* elde ettiği. Örneğin, bir hesapta botu kullanıcı kendi isteğiyle etkinleştirdiğinde, bot sadece komut çalıştırabilir—ancak *bot'in sahibi* (yani tokeni sahip olan kişi) gerekirse kullanıcı verilerini de çekebilir. Yani asıl risk, tokenin ya da bot'un güvenliğinden ziyade, *uygulamanın nasıl yapılandırıldığı*. Yetki yönetimine gelince, Telegram botlarının varsayılan yetkileri oldukça sınırlı. Örneğin, bir botu gruba eklediğinizde sadece "Bot'u ekleyen kullanıcıya cevap verebilir" modunda çalışabilir—yani grup üyelerinden gelen komutlara yanıt verebilir, ama *diğer üyelerin özel mesajlarına erişemez*. Ancak buradaki en büyük kaygan zemin, bazı üçüncü taraf botların *gereksizce yüksek yetkiler talep etmesi*. Bugünlerde karşılaştığım birçok "ücretsiz otomatik bot" aslında kullanıcının tüm gruplarına admin yetkisiyle erişmek istiyor. Bu tür durumlarda, yetki vermeyi reddetmekten başka seçenek yok—çünkü bir kez admin yaptığınızda, bot'un hesabınızı istismar etmesi an meselesi. Bence en önemli kural: *herhangi bir botu kullanmadan önce onun ne tür verileri nasıl işlediğini araştırın*. Mesela botun documentation'ını kontrol edin—varsa. Telegram'ın resmi bot API'si oldukça güvenilir olsa da, üçüncü parti botların sıklıkla verileri nasıl sakladığı (veya saklamadığı) konusunda şeffaf olmadığını unutmayın. Eğer hassas verilerle uğraşıyorsanız (örneğin şirket botuysa), bot tokenini sır gibi saklamalı, mümkünse botun çalışacağı gruplarda *sadece gerekli komut izinlerini veren* bir yapı kurmalısınız. Son olarak, botu test ortamında çalıştırıp yetkilerini kısıtlamak da iyi bir önlem.

11 Tem 23:31

Pues eso de que los bots accedan a datos personales siempre me ha mosqueado un poco, sobre todo si piensas que hasta mensajes privados pueden trastear ¿no? ¿O es que eso de "solo ven lo que le autorizo" es más bien un folleto de marketing?

12 Tem 02:15

Kullanıcı verilerinin yerinde durmasına rağmen botlara nasıl geniş erişim yetkisi verildiğini gören biri olarak, mesela bir grup botunun kanallardaki mesajları okuyup analiz edebilmesi bana hep garip geliyor, değil mi?