Что может получить Telegram-бот после нажатия кнопки внутри rich message: как отличить callback, внешний URL и запрос авторизации, проверить домен и вовремя остановиться.
Кнопка — это не один тип действия
Визуально одинаковая кнопка может вызвать callback внутри чата, открыть внешний URL, показать исчезающее сообщение или начать отдельный поток авторизации. Поэтому вопрос «что получил бот» нельзя решать по цвету, надписи или расположению. До нажатия установите автора сообщения и цель действия; после нажатия наблюдайте, осталось ли действие внутри Telegram, появился ли браузер и был ли показан экран подтверждения. Если тип неясен, вердикт UNKNOWN безопаснее предположения, что кнопка ничего не передаёт или, наоборот, сразу выдаёт аккаунт.
Матрица границ данных
Для внутреннего callback фиксируйте только факт события и ожидаемый ответ бота. Для URL-кнопки добавьте конечный домен: политика Telegram прямо предупреждает, что сайт, которым управляет бот, потенциально получает IP-адрес после перехода. Для Login URL важен отдельный экран авторизации и перечень подтверждаемых данных. Для кнопки, которая просит отправить сообщение, учитывайте сам текст сообщения. Эта матрица не требует сетевого перехвата и не содержит токенов; она сопоставляет наблюдаемый интерфейс с документированным классом действия.
Проверка до нажатия
Сначала откройте профиль бота или канала, проверьте понятность разработчика и контекст, в котором появилась кнопка. Если клиент показывает адрес, прочитайте его полностью и сравните host с официальным доменом сервиса. Не доверяйте словам «официальный», значку в изображении или похожему имени. Не нажимайте кнопку из пересланного неожиданного сообщения ради эксперимента. Для рабочего сценария попросите владельца опубликовать назначение кнопки и data flow; отсутствие описания не доказывает злоупотребление, но не даёт основания передавать дополнительные сведения.
Что не подтверждает один тап
Официальные материалы подтверждают интерактивность rich messages, потенциальную видимость IP внешнему сайту и передачу сообщения самому боту. Они не утверждают, что обычное нажатие без последующих подтверждений автоматически раскрывает пароль, код входа или полный доступ к аккаунту. Поэтому нельзя усиливать тревожный пост до факта. Красные флаги начинаются, когда открывается неожиданный домен, предлагается ввести код из служебного чата, пароль облачной 2FA, seed-фразу, платёжные реквизиты или разрешить управление устройством. На этом шаге действие прекращают.
Обратимая проверка
Для собственной интеграции создайте тестовое сообщение в закрытом стенде и четыре безопасных кнопки: локальный callback, известный HTTPS URL без авторизации, отменяемый confirmation flow и disabled state. Используйте тестовый аккаунт без переписок и платежей. Запишите только тип update, факт открытия домена и наличие подтверждения. Не логируйте user object целиком и не сохраняйте IP. После проверки удалите сообщение и журналы. Если URL уходит на другой host, подтверждение пропущено или бот получает больше ожидаемых полей, результат FAIL и интеграция не выпускается.
Минимальный пакет для разбора
В поддержку или разработчику передайте версию Telegram, тип чата, текст кнопки без персональных деталей, конечный домен, наличие экрана подтверждения и ожидаемый результат. Добавьте время и пометку, оставалось ли действие внутри приложения. Не прикладывайте update JSON, идентификатор пользователя, номер телефона, IP, cookies, коды входа и содержимое переписки. PASS означает совпадение типа действия с опубликованной схемой данных; FAIL — скрытая смена домена или обход подтверждения; UNKNOWN — клиент не показывает достаточно сведений. Такой вывод относится к одной кнопке, а не ко всем rich messages.
Материал подготовлен редакцией VOne с помощью автоматизированного черновика. Факты и границы вывода сверены 4 сентября 2026 года по указанным прямым официальным и первичным источникам. Текст написан самостоятельно, опасные действия и реальные пользовательские данные в проверку не включены.
Источники и проверка
- Telegram — Buttons inside Messages проверено 2026-09-04
- Telegram Privacy Policy — bots проверено 2026-09-04
- Telegram Bot API changelog проверено 2026-09-04
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.