Mini App — веб-приложение, которое запускается из бота или другого интерфейса Telegram и открывается внутри клиента. Это не отдельный вид блокчейна и не гарантия добросовестности разработчика. Приложение может быть игрой, магазином, формой заказа или интерфейсом для операции с кошельком. Пользователь видит его через Telegram, но код и сервер приложения контролирует его издатель.
Как запускается Mini App
Telegram описывает несколько способов запуска: кнопка в сообщении бота, кнопка меню, ссылка, команда или контекстный запуск. Способ запуска влияет на то, какие данные контекста передаются приложению. Он не превращает незнакомого бота в официальный аккаунт проекта.
Перед открытием найдите бота через официальный сайт проекта или проверенный канал. Не считайте пересланную ссылку доказательством происхождения. Сверьте username посимвольно, домен и описание. Если приложение просит установить расширение, перейти на другой сайт или сообщить секрет, прекратите сеанс и проверьте источник независимым способом.
При первом запуске приложение может попросить разрешение на имя, язык, публичный идентификатор или отправку сообщения. Прочитайте назначение каждого запроса. Доступ к интерфейсу Telegram не означает доступ к вашему кошельку или банковскому счёту.
Что передаётся приложению
У Mini App есть контекст запуска. В нём могут быть данные пользователя и параметры, заданные ботом. На клиенте Telegram доступен объект initDataUnsafe, но его нельзя считать доказанным: значения в нём предназначены для удобства интерфейса и могут быть изменены до отправки на сервер.
Для проверки сервер должен использовать строку initData, переданную Telegram, и валидировать её подпись по правилам официальной документации. Проверка подтверждает происхождение данных от Telegram при корректной реализации; она не подтверждает честность приложения, его бота или предлагаемой операции. Пользователь не может надёжно проверить серверную валидацию по внешнему виду страницы.
Практическое правило простое: не вводите секреты в Mini App, даже если на странице отображаются ваше имя и фотография. Публичный контекст может помочь приложению показать профиль, но seed-фраза, приватный ключ и код входа Telegram не являются частью нормального запуска.
Telegram Stars и платежи
Покупка цифрового товара внутри Telegram может использовать платёжный интерфейс Telegram Stars. Это отдельный платёжный путь, а не автоматическое подключение криптокошелька. До подтверждения смотрите название товара, получателя и условия возврата, показанные Telegram. Перевод Stars не даёт право требовать seed-фразу или подписывать произвольную блокчейн-транзакцию.
Если Mini App открывает внешний платёжный сайт, проверьте домен и продавца отдельно. Не смешивайте статус внутрителеграмного платежа с обещанием токенов, доходности или будущего листинга. Приложение может продавать услугу без какой-либо связи с TON.
TON Connect — отдельный уровень доверия
TON Connect позволяет приложению сформировать запрос, который кошелёк показывает пользователю для подтверждения. Само подключение и подпись операции — разные события. Подключённое приложение может знать публичный адрес, а подписанная транзакция может перевести актив или вызвать функцию смарт-контракта.
Перед подписью проверьте сеть, адрес получателя, актив, сумму, комментарий и смысл сообщения. Если кошелёк показывает непонятный payload, бесконечное разрешение или адрес, которого нет в документации проекта, отклоните запрос. Не подтверждайте операцию только потому, что Mini App открылась внутри Telegram.
После работы проверьте список подключённых приложений в кошельке и удалите ненужные. Удаление соединения не отменяет уже подтверждённую транзакцию. Если вы раскрыли seed-фразу, создайте новый кошелёк на чистом устройстве и перенесите доступные активы; смена пароля Telegram не возвращает контроль над скомпрометированным адресом.
Мини-чеклист перед действием
- Найдите официальный домен и бота независимо от полученной ссылки.
- Сверьте username, домен и назначение приложения.
- Проверьте, требуется ли действие для задачи или оно добавлено без объяснения.
- Не вводите seed-фразу, приватный ключ и коды входа.
- Прочитайте каждый запрос Telegram, Stars или TON Connect.
- Сопоставьте адрес, сеть и операцию с официальной документацией.
- Для нового сервиса используйте отдельный кошелёк без долгосрочных средств.
- Сохраните подтверждение покупки и хэш операции, если транзакция состоялась.
Чеклист не делает приложение безопасным. Он уменьшает вероятность подписать действие, смысл которого пользователь не понял. Если запрос нельзя объяснить обычными словами, его следует отклонить до получения подтверждения от издателя через официальный канал.
Проверка бота и домена
Синяя отметка, знакомый логотип и число подписчиков не подтверждают связь с проектом. Откройте официальный сайт вручную, найдите ссылку на Telegram и сравните адрес. Смотрите на полное имя домена, доменную зону и перенаправления. HTTPS шифрует соединение, но не устанавливает личность владельца.
Проверьте, что документация описывает именно тот сценарий, который просит Mini App. Если приложение требует подключить кошелёк для чтения общедоступной информации, задайте вопрос издателю и не подписывайте запрос. Публичный контракт и адрес можно проверить в обозревателе сети, но отметка о верификации не является аудитом кода.
Поддельная поддержка часто пишет первой после ошибки подключения. Она может предложить «синхронизацию», «разблокировку» или возврат средств. Настоящий оператор не просит секретную фразу и не требует отправить актив для ремонта. Подозрительные профили и сообщения фиксируйте до блокировки; подробный workflow есть в руководстве по проверке криптоскама в Telegram.
Если вы уже подтвердили подозрительный запрос
Сначала остановите дальнейшие подписи. Сохраните ссылку на сообщение, username, домен, время, адрес кошелька, сеть и хэш транзакции. Через официальный интерфейс кошелька проверьте активные соединения и разрешения. При необходимости переведите активы на новый кошелёк, созданный на чистом устройстве.
Не пытайтесь «отменить» транзакцию, подписывая следующую операцию из того же Mini App. Не публикуйте seed-фразу в жалобе и не передавайте экран удалённому помощнику. Если были затронуты карта или кастодиальный сервис, используйте контакт из официального приложения. Для доказательств и жалобы применяйте чеклист по криптоскамам.
Ограничения Mini Apps
Telegram предоставляет платформу запуска, но не поручается за экономику каждого приложения и не заменяет аудит смарт-контракта. Данные initData подтверждают корректность подписи только при серверной проверке; они не говорят, куда уйдут средства. TON Connect показывает запрос кошельку, но окончательное решение о подписи остаётся за пользователем.
Три уровня доверия
Удобно разделять проверку на три уровня. Первый — источник интерфейса: настоящий ли бот и домен, с которого он запущен. Второй — данные и разрешения: что приложение получает от Telegram, какие поля отправляет на сервер и какой запрос формирует кошельку. Третий — экономическая операция: кому принадлежит контракт, какой актив переводится и можно ли проверить результат в обозревателе. Успех на первом уровне не заменяет два следующих.
Если приложение только показывает каталог, ему может быть достаточно публичного контекста. Если оно оформляет заказ через Stars, проверяйте карточку платежа и продавца в интерфейсе Telegram. Если оно предлагает подключить TON Connect, добавляется проверка каждой подписи. Не соглашайтесь на «универсальное разрешение», объяснение которого сводится к словам о технической необходимости.
При споре с сервисом сохраняйте не только итоговый экран. Запишите адрес страницы, название бота, текст запроса кошелька, данные платежа и время. Удалённая страница не должна лишить вас описания события. Для нового проекта полезно сначала выполнить действие без финансового риска и проверить, соответствует ли результат обещанному сценарию.
Баллы в игре, обещание будущего токена, скидка или внутренняя единица приложения не равны ликвидному активу. Уточняйте условия использования, ограничения вывода и поддержку до внесения средств. Если нужен общий контекст о кошельке, используйте инструкцию по настройке TON-кошелька; механику игр и их риски разбирает материал о tap-to-earn.
Официальные источники
Не подписывайте непонятные запросы и не передавайте секретные данные Mini App, боту или «поддержке».