(01)
Un tocco, nessuna password
I tuoi clienti accedono con un tocco su Start nel tuo bot. Nessuna password da conservare, nessun flusso email da gestire. Telegram non ti dà un indirizzo email, quindi chiedilo dopo l'accesso se ti serve.
(Nautilus · Accesso con Telegram)
Fai accedere i tuoi clienti con Telegram Niente password, niente costi SMS, nessun dominio da registrare
I tuoi clienti toccano Start nel tuo bot Telegram e sono dentro: nessuna password da conservare, nessuna email da consegnare. Colleghi il tuo bot dalla dashboard e chiami due endpoint HTTP; Nautilus gestisce il lato bot e ti restituisce un access token e il profilo Telegram.
curl -X POST https://api.vernesoft.com/v1/passepartout/login/start \
-H "Authorization: Bearer vrn_passepartout_•••"
# => { "nonce": "n_9f2c…", "deep_link": "https://t.me/your_bot?start=n_9f2c…" }(Perché non le password)
Le password costano tempo di supporto, i codici SMS costano denaro
Le password portano con sé flussi di reset, email di verifica e i ticket di supporto che ne seguono. I codici SMS scambiano tutto questo con un costo per messaggio. Se i tuoi clienti sono già su Telegram, c'è una terza via, e non costa né l'uno né l'altro.
Accesso con password o SMS
- ✕ Archiviazione delle password e flussi di reset che devi proteggere e mantenere.
- ✕ Email di verifica che arrivano tardi o finiscono nello spam, bloccando le registrazioni.
- ✕ Codici SMS monouso fatturati a messaggio, in ogni paese, finché li usi.
- ✕ Token dei bot Telegram, se colleghi tutto da te, sparsi tra file di configurazione e file di ambiente.
Accesso con Telegram
- ✓ Nessuna password da conservare, perdere o reimpostare.
- ✓ Un tocco su un deep link: nessun giro per email, nessun codice da digitare.
- ✓ Utenti conservati per account in Ory Kratos, separati dagli utenti degli altri account.
- ✓ Token dei bot cifrati a riposo con AES-256-GCM.
(Il widget di login)
Dove si ferma il widget di login di Telegram
Il pulsante di login di Telegram era un widget in iframe, e le pagine stesse di Telegram ora lo definiscono legacy e documentano invece un login OpenID Connect. Se usi il widget, questi sono i cinque punti in cui si ferma. Questo accesso segue un'altra strada: l'utente finisce nel tuo bot, non su una pagina che Telegram mostra al posto tuo.
Dove si ferma
Widget di login Telegram (legacy)
Accesso con Telegram
(01)
Vincolo di dominio
Widget di login Telegram (legacy)
Legato all'unico dominio che imposti con /setdomain in BotFather. Un ambiente di staging di solito richiede un secondo bot, e l'origine sbagliata fallisce con «Bot domain invalid».
Accesso con Telegram
Nessun dominio da registrare. Lo stesso bot serve produzione, staging e ogni macchina di sviluppo.
(02)
Sviluppo locale
Widget di login Telegram (legacy)
In pratica non funziona su localhost, quindi l'accesso che rilasci non è quello che hai testato.
Accesso con Telegram
Al flusso con deep link non importa dove giri la tua app. Le stesse due chiamate funzionano in locale e in produzione; l'utente tocca Start nel tuo bot in entrambi i casi.
(03)
Sessioni e logout
Widget di login Telegram (legacy)
Restituisce un payload firmato e si ferma lì. Non c'è nessuna sessione che scada né nulla da cui disconnettersi.
Accesso con Telegram
Restituisce un access token che scade dopo un'ora e un endpoint per l'introspezione. Non c'è una chiamata di logout, quindi un token termina alla scadenza.
(04)
Il pulsante
Widget di login Telegram (legacy)
Un iframe che configuri invece di un markup che controlli: dimensione del pulsante, raggio degli angoli e se mostrare la foto, nello stile proprio di Telegram.
Accesso con Telegram
Mostri il tuo pulsante, perché il flusso è fatto di due chiamate HTTP e un link. Sembra il resto del tuo design system.
(05)
Verifica della firma
Widget di login Telegram (legacy)
Costruisci la data-check string e verifichi l'HMAC da solo, correttamente, in ogni backend che accetta un login.
Accesso con Telegram
Gestita da noi: il bot riceve il tocco direttamente da Telegram, quindi non c'è nessun payload firmato da verificare. Il tuo backend fa l'introspezione di un solo token.
(Funzionalità principali)
Cosa ottieni con l'accesso con Telegram
(02)
Utenti separati per account
Gli utenti Telegram di ogni account vivono nel proprio namespace in Ory Kratos, separati dagli utenti degli altri account. La stessa persona che accede a due account ottiene due identità distinte.
(03)
Porta il tuo bot
Crea un bot con @BotFather, incolla il suo token nella dashboard e attivalo. Nessun webhook pubblico, e nessun tuo server deve essere raggiungibile da Telegram.
(04)
Due chiamate HTTP
Avvia un login per ottenere un nonce e un link t.me. L'utente tocca Start nel tuo bot e tu interroghi lo stato finché non restituisce un access token e id, username, nome e foto Telegram. Il nonce vale cinque minuti.
(05)
Token dei bot cifrati a riposo
I token dei bot di @BotFather sono cifrati con AES-256-GCM. Nautilus legge gli aggiornamenti del tuo bot con il long polling su Telegram, quindi non esponi mai un webhook. Un token permette a chi lo possiede di agire come il bot; se il tuo fa anche altro, crea un bot separato per l'accesso.
(06)
SDK per quattro linguaggi
Gli SDK ufficiali per Node, PHP, Python e Rust hanno una risorsa passepartout, così ciascuna delle due chiamate è una riga.
(Un solo prodotto)
Telegram è un modo per entrare, non tutto l'accesso
L'accesso con Telegram vive nello stesso account Nautilus di tutto il resto: la stessa dashboard, lo stesso piano, una chiave API limitata a esso. È uno dei modi in cui una persona può accedere. Email e password, Google, GitHub e altri otto provider passano dall'API di accesso di quell'account. Un accesso con Telegram è un utente a sé: Nautilus non lo unisce a un account email o social della stessa persona.
Vedi accesso e utentiL'utente tocca Start nel tuo botNautilus lo fa accedereLa tua app riceve un access token
(Esperienza sviluppatore)
Aggiungi l'accesso con Telegram con due chiamate
Avvia un login, manda l'utente al link, interroga fino al completamento, in qualsiasi linguaggio. Controlla il token che ricevi con una sola chiamata di introspezione.
# 1. Start a login — returns a nonce and a Telegram deep link
curl -X POST https://api.vernesoft.com/v1/passepartout/login/start \
-H "Authorization: Bearer $VERNE_PASSEPARTOUT_KEY" \
-H "Content-Type: application/json"
# => { "nonce": "n_9f2c…", "deep_link": "https://t.me/your_bot?start=n_9f2c…" }
# 2. Poll for status until the user taps Start in your bot
curl "https://api.vernesoft.com/v1/passepartout/login/status?nonce=n_9f2c…" \
-H "Authorization: Bearer $VERNE_PASSEPARTOUT_KEY"
# => { "status": "completed", "access_token": "…", "user": { "id": "…" } }(FAQ)
Domande frequenti
Come funziona il flusso di login Telegram?
Il tuo backend chiama POST /v1/passepartout/login/start e ottiene un nonce e un link t.me. L'utente apre il link e tocca Start nel tuo bot. Il tuo backend interroga poi GET /v1/passepartout/login/status con il nonce finché non restituisce uno stato completato con un access token e il profilo Telegram dell'utente.
Devo eseguire un webhook pubblico per il bot Telegram?
No. Nautilus legge gli aggiornamenti del tuo bot con il long polling su Telegram, quindi non c'è nessun webhook da esporre o proteggere. Aggiungi solo nella dashboard il token del bot di @BotFather.
Come vengono tenuti separati i miei utenti da quelli degli altri account?
Gli utenti Telegram hanno un namespace per account nell'archivio condiviso di Ory Kratos, e ogni account collega il proprio bot. I token dei bot sono cifrati a riposo con AES-256-GCM.
In cosa è diverso dal Telegram Login Widget?
Il widget iframe di Telegram, che le pagine stesse di Telegram ora definiscono legacy, è legato a un dominio che imposti in BotFather, non ha sessione né logout e lascia il controllo HMAC al tuo codice. Questo è invece un flusso con deep link: funziona da qualsiasi origine, la validazione la facciamo noi e ottieni un access token con una scadenza. Il nuovo login OpenID Connect di Telegram elimina la regola del dominio unico e non costa nulla; porta gli utenti sulla pagina di Telegram, mentre qui restano nel tuo bot. Scegli ciò che si adatta al tuo flusso.
Funziona su localhost?
Sì. Non c'è nessun dominio da registrare, quindi lo stesso flusso gira in sviluppo locale e in produzione, e l'utente tocca Start nel tuo bot in entrambi i casi.
Si paga a messaggio, come i codici via SMS?
Nulla è fatturato per messaggio, perché la consegna passa da Telegram. Un accesso costa una o due richieste — avviarlo e, se lo fai, verificare il token — per quanto tempo la persona impieghi a toccare Start: interrogare il risultato è gratuito. L'utilizzo si misura in richieste API: il piano gratuito ne include 3.000 al mese, Starter costa 19 € per 50.000 e Pro 79 € per 300.000. La pagina dei prezzi ha l'elenco aggiornato.
(Inizia oggi)
Dai ai tuoi clienti un accesso con Telegram
Nessuna password da conservare, nessuna email da consegnare. Collega un bot, crea una chiave e le prime 3.000 richieste di ogni mese sono gratis.
Quanto costa il passwordless
Il passwordless ha un listino, e diventa evidente solo in produzione. I codici usa e getta via SMS si pagano a messaggio, in ogni paese, per sempre — e le rotte più costose servono di solito i clienti meno redditizi. I magic link spostano il costo sull'email: un provider transazionale, un dominio riscaldato e le iscrizioni che perdi in una cartella spam che non puoi ispezionare.
La consegna via Telegram non ha nessuno di questi due costi. Arriva in un'app che l'utente ha già aperta, non c'è un costo per messaggio da girare a qualcuno e non c'è una reputazione di dominio da mantenere. Ciò che costa invece è la portata: i tuoi utenti devono essere su Telegram, un vincolo reale e il motivo onesto per cui questo è un metodo di accesso e non l'unico.
Quindi il conto è breve. Dove il tuo pubblico è già su Telegram, non hai un costo per messaggio né una recapitabilità delle email di cui occuparti; dove non lo è, l'API di accesso copre email, password e dieci provider di accesso sullo stesso account. Un token di bot da @BotFather è tutta la configurazione, e le prime 3.000 richieste di ogni mese sono gratis.