(Nautilus · Telegram-Anmeldung)
Ihre Kunden tippen in Ihrem Telegram-Bot auf Start und sind angemeldet: kein Passwort zu speichern, keine E-Mail zuzustellen. Sie verbinden Ihren eigenen Bot im Dashboard und rufen zwei HTTP-Endpoints auf; Nautilus betreibt die Bot-Seite und liefert Ihnen ein Access-Token und das Telegram-Profil.
curl -X POST https://api.vernesoft.com/v1/passepartout/login/start \
-H "Authorization: Bearer vrn_passepartout_•••"
# => { "nonce": "n_9f2c…", "deep_link": "https://t.me/your_bot?start=n_9f2c…" }(Warum keine Passwörter)
Passwörter bringen Reset-Flows, Bestätigungs-E-Mails und die Support-Tickets mit sich, die daraus folgen. SMS-Codes tauschen das gegen eine Rechnung pro Nachricht. Wenn Ihre Kunden ohnehin auf Telegram sind, gibt es einen dritten Weg, und er kostet keines von beiden.
Anmeldung per Passwort oder SMS
Telegram-Anmeldung
(Das Login-Widget)
Telegrams Login-Button war ein iframe-Widget; Telegrams eigene Seiten nennen es inzwischen veraltet und dokumentieren stattdessen eine OpenID-Connect-Anmeldung. Wenn Sie das Widget einsetzen, sind das die fünf Stellen, an denen es aufhört. Diese Anmeldung geht einen anderen Weg: Der Nutzer landet in Ihrem Bot, nicht auf einer Seite, die Telegram für Sie darstellt.
Wo es aufhört
Telegram-Login-Widget (veraltet)
Telegram-Anmeldung
(01)
Telegram-Login-Widget (veraltet)
An die eine Domain gebunden, die Sie in BotFather mit /setdomain festlegen. Eine Staging-Umgebung braucht meist einen zweiten Bot, und der falsche Origin scheitert mit „Bot domain invalid".
Telegram-Anmeldung
Keine Domain zu registrieren. Derselbe Bot bedient Produktion, Staging und jede Entwicklermaschine.
(02)
Telegram-Login-Widget (veraltet)
In der Praxis läuft es nicht auf localhost, sodass die Anmeldung, die Sie ausliefern, nicht die ist, die Sie getestet haben.
Telegram-Anmeldung
Dem Deep-Link-Flow ist egal, wo Ihre App läuft. Dieselben zwei Aufrufe funktionieren lokal und in Produktion; der Nutzer tippt in beiden Fällen in Ihrem Bot auf Start.
(03)
Telegram-Login-Widget (veraltet)
Liefert eine signierte Payload zurück und hört dort auf. Es gibt keine Session, die ablaufen könnte, und nichts, wovon man sich abmelden könnte.
Telegram-Anmeldung
Gibt ein Access-Token zurück, das nach einer Stunde abläuft, und einen Endpoint zur Introspection. Es gibt keinen Logout-Aufruf, ein Token endet also durch Ablauf.
(04)
Telegram-Login-Widget (veraltet)
Ein iframe, das Sie konfigurieren, statt Markup, das Sie kontrollieren: Buttongröße, Eckenradius und ob das Foto angezeigt wird, im eigenen Stil von Telegram.
Telegram-Anmeldung
Sie rendern Ihren eigenen Button, weil der Flow aus zwei HTTP-Aufrufen und einem Link besteht. Er sieht aus wie der Rest Ihres Designsystems.
(05)
Telegram-Login-Widget (veraltet)
Sie bauen den Data-Check-String und verifizieren den HMAC selbst — korrekt, in jedem Backend, das einen Login annimmt.
Telegram-Anmeldung
Auf unserer Seite erledigt: Der Bot empfängt den Tipp direkt von Telegram, es gibt also keine signierte Payload zu prüfen. Ihr Backend prüft ein einziges Token per Introspection.
(Kernfunktionen)
(01)
Ihre Kunden melden sich mit einem Tipp auf Start in Ihrem Bot an. Kein Passwort zu speichern, kein E-Mail-Flow zu betreiben. Telegram liefert Ihnen keine E-Mail-Adresse, fragen Sie also nach der Anmeldung danach, wenn Sie eine brauchen.
(02)
Die Telegram-Nutzer jedes Kontos leben in ihrem eigenen Namensraum in Ory Kratos, getrennt von den Nutzern anderer Konten. Dieselbe Person, die sich bei zwei Konten anmeldet, erhält zwei getrennte Identitäten.
(03)
Erstellen Sie mit @BotFather einen Bot, fügen Sie sein Token ins Dashboard ein und aktivieren Sie ihn. Kein öffentlicher Webhook, und kein Server von Ihnen muss von Telegram aus erreichbar sein.
(04)
Starten Sie eine Anmeldung, um einen Nonce und einen t.me-Link zu erhalten. Der Nutzer tippt in Ihrem Bot auf Start, und Sie fragen den Status ab, bis ein Access-Token sowie Telegram-ID, Benutzername, Vorname und Foto zurückkommen. Der Nonce ist fünf Minuten gültig.
(05)
Bot-Tokens von @BotFather werden mit AES-256-GCM verschlüsselt. Nautilus liest die Updates Ihres Bots per Long-Polling bei Telegram, Sie legen also nie einen Webhook offen. Ein Token erlaubt seinem Inhaber, als der Bot zu handeln; wenn Ihrer noch andere Aufgaben erledigt, legen Sie für die Anmeldung einen eigenen Bot an.
(06)
Die offiziellen SDKs für Node, PHP, Python und Rust haben eine passepartout-Ressource, sodass jeder der beiden Aufrufe eine Zeile ist.
(Ein Produkt)
Die Telegram-Anmeldung sitzt im selben Nautilus-Konto wie alles andere: dasselbe Dashboard, derselbe Tarif, ein darauf beschränkter API-Key. Sie ist ein Weg, sich anzumelden. E-Mail und Passwort, Google, GitHub und acht weitere Anbieter laufen über die Anmelde-API dieses Kontos. Eine Telegram-Anmeldung ist ein eigener Nutzer: Nautilus führt sie nicht mit einem E-Mail- oder Social-Konto derselben Person zusammen.
Anmeldung und Nutzer ansehen(Entwicklererfahrung)
Eine Anmeldung starten, den Nutzer zum Link schicken, bis zum Abschluss abfragen, in jeder Sprache. Das zurückgelieferte Token mit einem Introspection-Aufruf prüfen.
# 1. Start a login — returns a nonce and a Telegram deep link
curl -X POST https://api.vernesoft.com/v1/passepartout/login/start \
-H "Authorization: Bearer $VERNE_PASSEPARTOUT_KEY" \
-H "Content-Type: application/json"
# => { "nonce": "n_9f2c…", "deep_link": "https://t.me/your_bot?start=n_9f2c…" }
# 2. Poll for status until the user taps Start in your bot
curl "https://api.vernesoft.com/v1/passepartout/login/status?nonce=n_9f2c…" \
-H "Authorization: Bearer $VERNE_PASSEPARTOUT_KEY"
# => { "status": "completed", "access_token": "…", "user": { "id": "…" } }(FAQ)
Ihr Backend ruft POST /v1/passepartout/login/start auf und erhält einen Nonce und einen t.me-Link. Der Nutzer öffnet den Link und tippt in Ihrem Bot auf Start. Ihr Backend fragt dann GET /v1/passepartout/login/status mit dem Nonce ab, bis ein abgeschlossener Status mit einem Access-Token und dem Telegram-Profil des Nutzers zurückkommt.
Nein. Nautilus liest die Updates Ihres Bots per Long-Polling bei Telegram, es gibt also keinen Webhook, den Sie offenlegen oder absichern müssten. Sie tragen nur das Bot-Token von @BotFather im Dashboard ein.
Telegram-Nutzer haben im gemeinsamen Ory-Kratos-Speicher pro Konto einen eigenen Namensraum, und jedes Konto verbindet seinen eigenen Bot. Bot-Tokens sind im Ruhezustand mit AES-256-GCM verschlüsselt.
Telegrams iframe-Widget, das Telegrams eigene Seiten inzwischen veraltet nennen, ist an eine in BotFather festgelegte Domain gebunden, kennt weder Session noch Logout und überlässt die HMAC-Prüfung Ihrem Code. Hier ist es stattdessen ein Deep-Link-Flow: Er funktioniert von jedem Origin, wir übernehmen die Validierung, und Sie erhalten ein Access-Token mit Ablaufzeit. Telegrams neuere OpenID-Connect-Anmeldung hebt die Ein-Domain-Regel auf und kostet nichts; sie schickt Nutzer auf Telegrams eigene Seite, während sie hier in Ihrem Bot bleiben. Nehmen Sie, was zu Ihrem Flow passt.
Ja. Es gibt keine Domain zu registrieren, sodass derselbe Flow in der lokalen Entwicklung und in Produktion läuft und der Nutzer in beiden Fällen in Ihrem Bot auf Start tippt.
Pro Nachricht wird nichts berechnet, weil die Zustellung über Telegram läuft. Eine Anmeldung kostet ein oder zwei Anfragen – das Starten und, falls Sie es tun, die Prüfung des Tokens –, egal wie lange die Person bis zum Tippen auf Start braucht: Das Abfragen des Ergebnisses ist kostenlos. Die Nutzung wird in API-Anfragen gemessen: Der kostenlose Tarif enthält 3.000 pro Monat, Starter kostet 19 € für 50.000 und Pro 79 € für 300.000. Die aktuelle Liste steht auf der Preisseite.
(Jetzt starten)
Kein Passwort zu speichern, keine E-Mail zuzustellen. Verbinden Sie einen Bot, erstellen Sie einen Key, und die ersten 3.000 Anfragen jeden Monat sind gratis.
Was passwortlos kostet
Passwortlos hat eine Preisliste, und sie wird erst in Produktion sichtbar. SMS-Einmalcodes kosten pro Nachricht, in jedem Land, dauerhaft — und die teuersten Routen bedienen meist die günstigsten Kunden. Magic Links verschieben die Kosten in die E-Mail: ein Transaktionsanbieter, eine eingewärmte Domain und die Anmeldungen, die Sie an einen Spam-Ordner verlieren, in den Sie nicht hineinsehen können.
Die Zustellung über Telegram hat keine dieser beiden Kosten. Sie kommt in einer App an, die der Nutzer ohnehin geöffnet hat, es gibt keine Gebühr pro Nachricht weiterzureichen, und es gibt keine Domain-Reputation zu pflegen. Was sie stattdessen kostet, ist Reichweite: Ihre Nutzer müssen auf Telegram sein, eine echte Einschränkung und der ehrliche Grund, warum dies eine Anmeldemethode unter mehreren ist und nicht die einzige.
Die Rechnung ist also kurz. Wo Ihre Zielgruppe bereits auf Telegram ist, haben Sie weder eine Rechnung pro Nachricht noch E-Mail-Zustellbarkeit, um die Sie sich kümmern müssten; wo nicht, deckt die Anmelde-API E-Mail, Passwort und zehn Anmeldeanbieter im selben Konto ab. Ein Bot-Token von @BotFather ist das ganze Setup, und die ersten 3.000 Anfragen jeden Monat sind gratis.