مینی اپ تلگرام چیست؟ فرق مینی‌اپ و ربات، دسترسی‌ها و امنیت

مینی اپ تلگرام (Telegram Mini App) سایت یا برنامه‌ای تحت وب است که به‌جای مرورگر، داخل خود تلگرام باز می‌شود. آن را با دکمه‌ای در گفت‌وگوی یک ربات یا با لینکی مثل t.me/BotName/AppName باز می‌کنید و چیزی روی گوشی نصب نمی‌شود. تلگرام خودش شما را به مینی‌اپ معرفی می‌کند، برای همین رمز عبور و فرم ورود لازم نیست. مینی‌اپ گفت‌وگوها و پیام‌های شما را نمی‌بیند؛ فقط اطلاعات پایه حساب‌تان را می‌گیرد و برای شماره تلفن، موقعیت مکانی یا پرداخت باید از شما اجازه بگیرد.

بیشتر بازی‌های تپ تو ارن، کیف پول‌های رمزارزی، فروشگاه‌ها و صرافی‌هایی که داخل تلگرام کار می‌کنند، مینی‌اپ‌اند. اگر از این مطلب فقط یک نکته یادتان بماند، این باشد: هیچ مینی‌اپ واقعی‌ای به کد ورود تلگرام یا ۱۲ کلمه بازیابی کیف پول شما نیاز ندارد.

مینی اپ تلگرام چیست؟ توضیح ساده

یک سایت معمولی را در نظر بگیرید که به‌جای کروم یا سافاری، در پنجره‌ای داخل تلگرام باز می‌شود. مینی‌اپ همین است: صفحه‌ای که سازنده‌اش با همان ابزارهای ساخت سایت (HTML و جاوااسکریپت) نوشته و روی سرور خودش گذاشته است. مستندات تلگرام می‌گوید مینی‌اپ می‌تواند کاملاً جای هر وب‌سایتی را بگیرد و ورود به حساب، پرداخت و اعلان هم دارد.

فرقش با یک سایت در نقشی است که تلگرام این وسط دارد. تلگرام می‌داند چه کسی مینی‌اپ را باز کرده، تم و رنگ‌های اپ شما را به آن می‌دهد و پنجره‌های اجازه و پرداخت را خودش نشان می‌دهد. از به‌روزرسانی Bot API 8.0 در ۲۷ آبان ۱۴۰۳ هم مینی‌اپ‌ها می‌توانند تمام‌صفحه شوند و میان‌بُری روی صفحه اصلی گوشی بگذارند؛ برای همین بعضی‌شان حس یک اپ واقعی را می‌دهند.

یک نکته را هم از همین اول بدانید: مینی‌اپ‌ها را شرکت‌ها و آدم‌های دیگر می‌سازند، نه خود تلگرام. طبق شرایط استفاده مینی‌اپ‌ها، هر مینی‌اپ را سرویس‌دهنده‌ای مستقل از تلگرام اداره می‌کند و مسئولیت کالا، خدمات و اطلاعاتی که به آن می‌دهید با همان سرویس‌دهنده است. پس باز شدن چیزی داخل تلگرام به این معنا نیست که تلگرام آن را تأیید کرده است.

ربات مینی‌اپ تلگرام یعنی چه؟

هر مینی‌اپ به یک ربات تلگرام وصل است و ربات در واقع در ورودی آن است. یوزرنیم ربات، مثلاً @SwapWalletBot، هویت مینی‌اپ در تلگرام است: لینک‌ها با اسم ربات ساخته می‌شوند و پروفایل ربات دکمه باز کردن برنامه دارد. وقتی کسی از «ربات مینی‌اپ» حرف می‌زند، منظورش رباتی است که کار اصلی‌اش باز کردن یک مینی‌اپ است، نه جواب دادن به پیام‌ها.

مینی‌اپ از کجا باز می‌شود؟

تلگرام هفت راه برای باز کردن مینی‌اپ گذاشته است. لازم نیست همه را حفظ کنید، ولی وقتی آن‌ها را بشناسید، می‌فهمید لینک یا دکمه‌ای که جلویتان است شما را به کجا می‌برد:

• دکمه باز کردن برنامه (Launch app) در پروفایل ربات: برای ربات‌هایی که مینی‌اپ اصلی دارند.
• دکمه منو کنار کادر پیام: در گفت‌وگو با ربات، جای دکمه فهرست دستورها را می‌گیرد.
• دکمه شیشه‌ای زیر پیام ربات: همان دکمه‌هایی که زیر خود پیام می‌نشینند.
• دکمه کیبورد ربات: دکمه‌ای که جای صفحه‌کلید، پایین صفحه ظاهر می‌شود.
• لینک مستقیم: لینکی مثل t.me/BotName/AppName، یا t.me/BotName?startapp برای مینی‌اپ اصلی ربات. اگر لینک بعد از startapp مقداری هم داشته باشد، مینی‌اپ آن را می‌خواند و می‌تواند مثلاً صفحه مشخصی را باز کند.
• حالت اینلاین: یوزرنیم ربات را با @ در هر گفت‌وگویی تایپ می‌کنید و دکمه باز کردن مینی‌اپ بالای نتیجه‌ها می‌آید.
• منوی پیوست: بعضی ربات‌ها از شما اجازه می‌گیرند در منوی پیوست (همان آیکون گیره کنار کادر پیام) بنشینند تا از هر گفت‌وگویی باز شوند.

مینی‌اپ‌هایی که یک بار باز کرده‌اید، در زبانه Apps بخش جست‌وجوی تلگرام هم دیده می‌شوند. تلگرام ممکن است بعضی از مینی‌اپ‌های موفقی را که با استارز پول می‌گیرند، در فروشگاه مینی‌اپ‌هایش هم معرفی کند.

مینی‌اپ به چه اطلاعاتی از شما دسترسی دارد؟

وقتی مینی‌اپ را باز می‌کنید، سه دسته اطلاعات در کار است: چیزهایی که تلگرام خودکار به آن می‌دهد، چیزهایی که فقط با تأیید شما به آن می‌رسد و چیزهایی که اصلاً به دستش نمی‌رسد. نمودار زیر این مسیر را از لحظه زدن دکمه تا باز شدن حساب‌تان نشان می‌دهد.

آنچه خودکار به مینی‌اپ می‌رسد

طبق شرایط استفاده مینی‌اپ‌ها، مینی‌اپ به محض باز شدن آدرس IP شما را می‌بیند، مثل هر سایت دیگری. بسته به اینکه از کجا باز شده باشد، تلگرام این‌ها را هم به آن می‌دهد: شناسه عددی حساب، اسم و یوزرنیم، عکس پروفایل (اگر تنظیمات حریم خصوصی‌تان اجازه بدهد)، زبان اپ، پرمیوم بودن یا نبودن حساب و رنگ‌های تم.

آنچه فقط با تأیید شما می‌رسد

برای بقیه چیزها، تلگرام پنجره جداگانه‌ای باز می‌کند و تا تأیید نکنید چیزی فرستاده نمی‌شود:

• شماره تلفن: فقط وقتی به مینی‌اپ می‌رسد که در پنجره اشتراک شماره خود تلگرام آن را بفرستید.
• اجازه پیام دادن: اگر قبول کنید، ربات می‌تواند بعداً برایتان پیام بفرستد.
• موقعیت مکانی و اثر انگشت یا تشخیص چهره: سرویسی مثل نقشه یا برنامه‌ای که با اثر انگشت قفل می‌شود، این‌ها را درخواست می‌کند.
• پرداخت: پنجره پرداخت خود تلگرام باز می‌شود و مبلغ را پیش از تأیید نشان می‌دهد.

خواندن متنی که کپی کرده‌اید هم فقط برای مینی‌اپ‌هایی ممکن است که در منوی پیوست نشسته‌اند، و آن هم فقط وقتی خودتان دکمه‌ای را در مینی‌اپ بزنید.

آنچه به مینی‌اپ نمی‌رسد

مستندات تلگرام درباره مینی‌اپ‌هایی که با لینک مستقیم یا حالت اینلاین باز می‌شوند صریح است: به گفت‌وگو دسترسی ندارند، پیام‌ها را نمی‌خوانند و از طرف شما پیامی نمی‌فرستند. در راه‌های دیگر هم تاریخچه گفت‌وگوهایتان به مینی‌اپ داده نمی‌شود؛ بیشترین کاری که از دستش برمی‌آید، فرستادن یک پیام در همان گفت‌وگو در جواب کاری است که خودتان در مینی‌اپ انجام داده‌اید.

کد ورود و رمز دومرحله‌ای تلگرام هم هیچ‌وقت به مینی‌اپ داده نمی‌شود. تنها راه رسیدن این‌ها به دست یک مینی‌اپ این است که خودتان در آن تایپشان کنید.

چرا مینی‌اپ بدون رمز عبور شما را می‌شناسد؟

تلگرام اطلاعات حساب شما را در بسته‌ای به اسم initData و همراه با امضای خودش به مینی‌اپ می‌دهد. مینی‌اپ این بسته را برای سرور سازنده‌اش می‌فرستد و سرور با کلید مخفی ربات (توکن) بررسی می‌کند که امضا واقعاً مال تلگرام است و بسته کهنه نیست. تلگرام به سازنده‌ها گفته به نسخه بررسی‌نشده این اطلاعات اعتماد نکنند و فقط بعد از بررسی امضا از آن استفاده کنند. پس هویت شما را خود تلگرام تضمین می‌کند و مینی‌اپ برای شناختن شما به کد ورود یا رمز تلگرام هیچ نیازی ندارد.

فرق مینی‌اپ و ربات؛ مقایسه با سایت و اپ نصبی

ربات معمولی با پیام و دکمه کار می‌کند: چیزی می‌نویسید یا دکمه‌ای را می‌زنید و جواب می‌گیرید. مینی‌اپ یک صفحه کامل است، با فرم، فهرست، نمودار و هر چیزی که یک سایت دارد. جدول زیر این دو را کنار سایت و اپ نصبی گذاشته است:

اگر فقط می‌خواهید قیمت ببینید یا اعلان بگیرید، ربات کافی است. هر جا کار به فرم، فهرست یا پرداخت بکشد، مینی‌اپ راحت‌تر است، چون یک سایت کامل را بدون نصب و بدون ثبت‌نام جداگانه جلوی شما می‌گذارد. اپ نصبی وقتی به کار می‌آید که بخواهید سرویس را بیرون از تلگرام هم داشته باشید.

ربات‌های ارز دیجیتال تلگرام همه از یک جنس نیستند. ربات اعلان صرافی، ربات معامله‌گر، کیف پول و ربات جعلی هر کدام کار و ریسک خودشان را دارند و فقط بعضی‌شان مینی‌اپ‌اند.

پرداخت داخل مینی‌اپ: استارز، درگاه پرداخت و TON Connect

مینی‌اپ‌ها بسته به اینکه چه چیزی می‌فروشند، از سه راه پول می‌گیرند و هر راه قاعده خودش را دارد.

کالا و خدمات دیجیتال: فقط با استارز

اگر مینی‌اپ کالا یا خدمتی دیجیتال بفروشد، مثل آیتم بازی، اشتراک یا محتوای پولی، طبق قوانین پرداخت تلگرام باید آن را فقط با استارز بفروشد. دلیلش قوانین گوگل‌پلی و اپ‌استور است و به گفته تلگرام، پرداخت با رمزارز هم به‌جای استارز پذیرفته نیست. پرداخت در پنجره خود تلگرام انجام می‌شود و لازم نیست اسم، آدرس یا شماره کارت وارد کنید. اگر با استارز تلگرام آشنا نیستید یا موجودی ندارید، بسته‌های استارز را می‌توانید از فروشگاه سواپ‌ولت با موجودی تومانی یا تتری، برای یوزرنیم خودتان یا هر کس دیگری بخرید.

کالای فیزیکی: درگاه پرداخت سرویس‌دهنده

برای کالای فیزیکی، مینی‌اپ می‌تواند از درگاه‌های پرداخت دیگر استفاده کند. طبق شرایط استفاده مینی‌اپ‌ها، تلگرام خودش پرداخت را پردازش نمی‌کند و پولی نگه نمی‌دارد. اگر سفارشی نرسید یا بازپرداخت خواستید، طرف حساب‌تان همان سرویس‌دهنده است.

رمزارز: اتصال کیف پول با TON Connect

مینی‌اپ‌هایی که با بلاکچین کار می‌کنند، طبق قوانین بلاکچینی تلگرام از اسفند ۱۴۰۳ باید فقط از بلاکچین تون (گرام) استفاده کنند و کیف پول کاربر را فقط با TON Connect به برنامه وصل کنند. TON Connect کیف پول شما را از راه یک ارتباط رمزنگاری‌شده به برنامه وصل می‌کند. برنامه آدرس کیف پول را می‌بیند و می‌تواند درخواست امضا یا تراکنش بفرستد، ولی به کلیدهای شما دست نمی‌زند و هر درخواست را باید خودتان در کیف پول تأیید کنید.

پس مینی‌اپی که برای «وصل کردن کیف پول» عبارت بازیابی ۱۲ یا ۲۴ کلمه‌ای شما را بخواهد، کیف پول وصل نمی‌کند؛ کیف پول را خالی می‌کند. عبارت بازیابی را فقط در خود اپ کیف پول و موقع بازیابی آن وارد کنید.

در مینی‌اپ صرافی، ماجرا ساده‌تر است: حساب و موجودی‌تان پیش خود صرافی است و تومان را به حساب همان صرافی واریز می‌کنید. نمونه‌اش را پایین‌تر با سواپ‌ولت می‌بینید.

مینی‌اپ‌های تلگرام برای چه کارهایی ساخته می‌شوند؟

از مینی‌اپ‌های تلگرام هر کاری برمی‌آید که از یک سایت برمی‌آید، ولی این چهار دسته از همه آشناترند:

• بازی: بازی‌های تپ تو ارن مثل همستر کامبت و نات‌کوین، که با ضربه زدن روی صفحه امتیاز می‌دادند، از شناخته‌شده‌ترین مینی‌اپ‌های تلگرام‌اند. حالت تمام‌صفحه هم بیشتر به کار همین بازی‌ها می‌آید.
• کیف پول: Walt (ولت تلگرام سابق)، همان ربات قدیمی wallet@، کیف پولی امانی است که شرکتی مستقل از تلگرام اداره‌اش می‌کند. کیف پول تازه Money مینی‌اپ نیست و داخل خود اپ تلگرام ساخته شده است.
• صرافی: در مینی‌اپ صرافی، خرید و فروش رمزارز و واریز و برداشت همه داخل تلگرام انجام می‌شود و اپ جداگانه‌ای لازم نیست.
• فروشگاه و خدمات: مینی‌اپ می‌تواند محتوا و اشتراک را با استارز بفروشد یا سفارش کالا بگیرد. تلگرام برای نمایش مینی‌اپ، ربات نمونه‌ای به اسم @DurgerKingBot ساخته که یک منوی سفارش غذای آزمایشی است.

کاربر ایرانی و مینی‌اپ‌های خارجی

مینی‌اپ بودن یک سرویس چیزی درباره کار کردنش برای کاربر ایرانی نمی‌گوید. Walt در صفحه مناطق محدودش، که ۱۶ مهر ۱۴۰۵ به‌روز شده، ایران را جزو مناطق محدود آورده و نوشته تراکنش با صرافی‌هایی را که تحریم‌شده می‌داند متوقف می‌کند. پس نگه داشتن پول در کیف پول یا صرافی خارجی‌ای مثل Walt برای کاربر ایرانی خطر مسدود شدن دارد. گزینه‌های دیگر را در جایگزین کیف پول تلگرام برای ایرانی‌ها مرور کرده‌ایم.

راهی که جواب می‌دهد، مینی‌اپ یک صرافی ایرانی است که تومان می‌گیرد و حسابش بیرون از تلگرام هم باز می‌شود. این دومی مهم است، چون خود تلگرام از اردیبهشت ۱۳۹۷ در ایران فیلتر است. اگر روزی دسترسی‌تان به تلگرام قطع شد، حسابی که در وب یا اپ هم باز می‌شود، پول‌تان را پشت تلگرام قفل نمی‌کند.

مینی‌اپ رسمی را چطور تشخیص دهیم؟ چک‌لیست امنیت

بیشتر دردسرها با یک لینک بدلی شروع می‌شود، یا با کادری که نباید در آن چیزی تایپ می‌کردید. پیش از اینکه در هر مینی‌اپی پول بگذارید یا اطلاعات بدهید، این هفت مورد را چک کنید:

1. لینک را از خود سرویس بگیرید. لینکی که از سایت یا کانال رسمی برداشته‌اید، مطمئن‌تر از تبلیغ، پیام فورواردی یا لینکی است که کسی در گروه گذاشته است.
2. اسم ربات را در لینک بخوانید. در لینک t.me/BotName/AppName، بخش BotName یوزرنیم رباتی است که مینی‌اپ را باز می‌کند. آن را حرف‌به‌حرف با یوزرنیم رسمی مقایسه کنید؛ کوچک و بزرگ بودن حروف فرقی نمی‌کند، ولی یک حرف اضافه، یک زیرخط یا جابه‌جا شدن l و I یعنی ربات دیگری.
3. به اسم و عکس خودتان اعتماد نکنید. اسم، یوزرنیم و عکس شما را تلگرام خودکار به هر مینی‌اپی می‌دهد. اگر مینی‌اپی اسم و عکس‌تان را نشان داد، این نشانه رسمی بودنش نیست.
4. هر پنجره اجازه را با کار سرویس بسنجید. صرافی برای احراز هویت ممکن است شماره موبایل بخواهد، ولی یک بازی به شماره و موقعیت مکانی شما نیازی ندارد. اجازه‌ای را که دلیلش را نمی‌فهمید، رد کنید.
5. کد ورود، رمز دومرحله‌ای و عبارت بازیابی را هیچ‌جا تایپ نکنید. مینی‌اپ واقعی هویت شما را از تلگرام می‌گیرد و کیف پول را با TON Connect وصل می‌کند. پلیس فتا درباره رباتی به اسم «بانک ملی» هشدار داده بود که کد پنج‌رقمی ورود تلگرام را می‌گرفت و حساب را از دست صاحبش درمی‌آورد.
6. پول را فقط در مسیر خود سرویس بدهید. استارز را در پنجره پرداخت تلگرام بپردازید، تراکنش رمزارزی را در خود کیف پول تأیید کنید و تومان را از صفحه واریز خود صرافی به حساب صرافی بریزید. اگر کسی که خودش را پشتیبان معرفی می‌کند از شما بخواهد به کارت یک شخص پول بزنید، از مسیر رسمی بیرون رفته‌اید.
7. تأیید دومرحله‌ای تلگرام را روشن کنید. این گزینه در تنظیمات › حریم خصوصی و امنیت › تأیید دومرحله‌ای است. اگر روزی کد ورود از دستتان در رفت، این رمز جلوی ورود دیگران به حساب را می‌گیرد.

الگوی ربات جعلی تلگرام، از ربات بدلی بانک تا ربات «استخراج تتر»، تقریباً همیشه یکی است: یا کد و رمز می‌خواهد یا پیش‌پرداخت.

نمونه واقعی: مینی‌اپ سواپ‌ولت در تلگرام

حالا همه این‌ها را در یک مینی‌اپ واقعی ببینیم. سواپ‌ولت یک صرافی و کیف پول ایرانی است که مینی‌اپش با ربات رسمی @SwapWalletBot باز می‌شود:

• باز شدن: ربات را باز می‌کنید و Start را می‌زنید. بعد دکمه «کیف پول» زیر پیام خوش‌آمد (دکمه شیشه‌ای) یا دکمه Wallet کنار کادر پیام (دکمه منو) مینی‌اپ را باز می‌کند. لینک مستقیمش هم t.me/swapwalletbot/app است که بخش swapwalletbot آن همان یوزرنیم ربات رسمی است.
• ساخت حساب: حساب سواپ‌ولت با اولین باز کردن مینی‌اپ و با همان حساب تلگرام ساخته می‌شود و رمز عبور و فرم ورودی در کار نیست. این کار با همان اطلاعات امضاشده‌ای انجام می‌شود که بالاتر توضیح دادیم.
• خرید تتر با تومان: در کیف پول «خرید» را می‌زنید، تتر (USDT) را انتخاب می‌کنید، مبلغ را به تومان می‌نویسید و روی رسید «تایید و خرید» را می‌زنید. بعد تومان را با حساب به حساب، کارت به کارت یا پل واریز می‌کنید و واریز که ثبت شد، خرید خودکار نهایی می‌شود. قیمت لحظه‌ای را در صفحه خرید تتر با تومان هم می‌بینید.
• احراز هویت: فقط یک بار و پیش از اولین واریز تومان، احراز هویت سطح متوسط لازم است: شماره موبایل و کد تأیید، کد ملی، تاریخ تولد و کارت بانکی به اسم خودتان.
• انتقال به مخاطبین: تتر یا هر رمزارز دیگری را برای مخاطبین تلگرام‌تان و هر کاربر سواپ‌ولت، آنی و بدون کارمزد می‌فرستید. برداشت به کیف پول بیرونی کارمزد شبکه دارد؛ شبکه را موقع برداشت انتخاب می‌کنید و کارمزد پیش از تأیید نشان داده می‌شود.
• یک حساب، همه‌جا: همین حساب در وب و اپ اندروید سواپ‌ولت هم باز می‌شود و مینی‌اپ روی آیفون هم بدون اپ‌استور کار می‌کند.

کانال رسمی سواپ‌ولت @SwapWalletApp است و پشتیبانی سواپ‌ولت هیچ‌وقت رمز عبور یا کد تأیید شما را نمی‌پرسد. راهنمای قدم‌به‌قدم خرید تتر و فرق این مینی‌اپ با ربات‌های اعلان صرافی‌ها را در صفحه مینی‌اپ صرافی در تلگرام گذاشته‌ایم.

برای اینکه یک مینی‌اپ را از نزدیک امتحان کنید، t.me/swapwalletbot/app را باز کنید یا در تلگرام سراغ @SwapWalletBot بروید. بدون نصب اپ، تتر را با تومان بخرید و برای مخاطبین تلگرام‌تان آنی و بدون کارمزد بفرستید.