Cos'è un userbot
Un userbot è un programma che si collega a Telegram usando un account normale — quello con il numero di telefono — invece di un account bot. Per i server di Telegram è un client come il telefono o l'applicazione desktop: vede le stesse chat che vedi tu.
Il nome confonde, perché contiene la parola «bot» pur essendo l'opposto di un bot. Il modo più chiaro di dirlo: un bot è un utente artificiale con permessi limitati; un userbot è il tuo account, guidato da un programma invece che dalle tue dita.
Perché un bot quasi mai basta
È il muro contro cui sbatte chiunque provi la strada del bot. Un bot Telegram può leggere solo dove qualcuno lo ha nominato amministratore.
Il che va benissimo se il canale è tuo. Ma il caso reale è quasi sempre un altro: vuoi inoltrare da un canale a cui sei iscritto, di qualcun altro, che non ti nominerà mai amministratore. Lì il bot è fuori gioco, e non c'è configurazione che tenga.
| Bot | Userbot | |
|---|---|---|
| Legge da canali altrui | Solo da amministratore | Sì, se sei iscritto |
| Vede la cronologia | No | Sì, quella che vedi tu |
| Serve il numero | No | Sì |
| Rischio sull'account | Nessuno: è separato | C'è: è il tuo account |
L'ultima riga è la ragione per cui vale la pena leggere il resto di questa guida. Il vantaggio dell'userbot — vedere tutto quello che vedi tu — è anche il suo rischio.
Come funziona davvero
Telegram pubblica un protocollo, MTProto, e chiunque può
scrivere un client che lo parli. È lo stesso protocollo che usano le
applicazioni ufficiali. Le credenziali per accedervi —
api_id e api_hash — le rilascia Telegram stesso
su my.telegram.org,
gratis e senza approvazione.
Il collegamento avviene una volta sola:
Accesso
Numero, credenziali API, il codice che Telegram manda in chat, ed eventualmente la password della verifica in due passaggi.
Sessione
Telegram restituisce una sessione: una chiave che permette di ricollegarsi senza rifare l'accesso. È il pezzo delicato di tutto il meccanismo.
Ascolto
Da lì in poi il programma resta collegato e riceve i messaggi nell'istante in cui arrivano, come farebbe il tuo telefono.
Non c'è nessuna interrogazione periodica, nessun ritardo di qualche minuto: è una connessione aperta, e i messaggi arrivano quando arrivano.
I rischi, detti onestamente
Un userbot usa il tuo account vero. Chiunque ti dica che è a rischio zero ti sta vendendo qualcosa. I rischi reali sono tre, e sono gestibili.
1. Chi ha la sessione ha l'account
La sessione è l'equivalente di un accesso già fatto. Se finisce nelle mani sbagliate, chi la possiede può leggere le tue chat. È il rischio principale, e non riguarda la tecnologia: riguarda chi la custodisce e come.
L'unica difesa seria è la cifratura a riposo — la sessione non deve stare in chiaro da nessuna parte — e il fatto che tu possa revocarla quando vuoi da Impostazioni › Dispositivi sul tuo Telegram. Quel pulsante è tuo, non del servizio.
2. L'attività anomala si nota
Telegram sorveglia i comportamenti da spam: un account che entra in cinquanta gruppi in un'ora o scrive centinaia di messaggi a raffica viene limitato o sospeso. Non perché sia un userbot, ma perché sembra spam.
Un inoltro ragionevole verso gruppi in cui sei già presente non assomiglia a spam. Un account nuovo, appena creato, che comincia subito a scrivere ovunque, sì.
3. La responsabilità è di chi possiede l'account
Le condizioni d'uso valgono per il tuo account come per qualsiasi altro. Se lo strumento viene usato per ridistribuire contenuti altrui senza diritto, il problema è tuo — non del programma.
La sessione e l'api_hash vengono cifrati con
AES-256-GCM prima di toccare il database, con la chiave che sta
solo sul server che esegue gli inoltri. Il codice di accesso e la
password a due fattori vengono cancellati appena
l'accesso è completato: servono per entrare, non dopo. E la sessione
resta revocabile dal tuo Telegram in qualsiasi momento, senza passare da
noi.
Come si valuta un servizio
Prima di dare il proprio numero a chiunque, quattro domande. Se le risposte non ci sono o sono vaghe, la risposta è no.
- Dove sta la sessione, ed è cifrata? Se non lo dicono, dai per scontato che sia in chiaro.
- Il codice di accesso viene conservato? Non deve esserlo. Serve una volta sola.
- Posso revocare quando voglio? Deve essere possibile dal tuo Telegram, senza chiedere permesso a nessuno.
- Chi c'è dietro? Una società identificabile, con termini e privacy scritti. Un servizio anonimo che chiede il numero di telefono è un rischio che non vale nessun risparmio.
Diffida di chi promette di leggere da canali in cui non sei entrato, di aggirare la restrizione «vietata la copia», o di far scrivere il tuo account in gruppi di cui non fa parte. Non sono cose possibili: chi le promette o non sa di cosa parla, o sta descrivendo qualcos'altro rispetto a quello che installerai.
Farselo da soli conviene?
Le librerie esistono e sono buone: con qualche decina di righe si mette in piedi un inoltro che funziona. Il problema non è farlo funzionare il primo giorno: è tenerlo in piedi il novantesimo.
Le cose che scopri dopo, in ordine di quando ti arrivano in testa:
- Serve un server acceso sempre. Sul portatile che chiudi la sera non funziona.
- Le sessioni cadono. Serve capire quando riprovare e quando invece ritentare peggiora le cose.
- I limiti di frequenza esistono. Vanno rispettati, non subiti.
- La sessione va custodita. Un file in chiaro su un server è il modo più comune di perdere un account.
- I formati cambiano. Le regole di trasformazione scritte a mano vanno riscritte ogni volta che una fonte cambia stile.
Se ti diverte gestire tutto questo, fallo: è un ottimo progetto per imparare. Se invece l'inoltro è uno strumento di lavoro e non l'hobby, la domanda giusta non è «so scriverlo?» ma «voglio essere io a rispondere quando smette di funzionare di domenica?».
Un userbot che non devi mantenere.
Sessioni cifrate, riconnessione automatica e nessun server da amministrare. Colleghi il numero e funziona.