Connecter son compte Telegram à un bot, c'est laisser entrer une application de plus dans son compte

Vous voulez recevoir des résumés des publications d’un canal privé dans le même chat où vous lisez déjà vos autres canaux. Le bot répond : pour cela, connectez votre compte Telegram. Et c’est là que l’on commence à se sentir mal à l’aise. Telegram lui-même conseille de ne jamais communiquer son code de connexion à qui que ce soit, pas même à d’autres services. Et après la connexion, une nouvelle session apparaît dans votre liste d’appareils, alors que vous ne l’avez pas ouverte depuis votre téléphone.

Pourquoi est-ce nécessaire ? C’est la seule façon de lire un canal privé. Seuls ses membres le voient. Le bot n’en fait pas partie, et seul l’administrateur du canal peut l’y ajouter. Le canal ne peut donc être lu qu’à travers un compte qui s’y trouve déjà, c’est-à-dire le vôtre.

Alors, est-ce sûr ou non ? Il n’y a pas de réponse simple. En connectant votre compte, vous y laissez entrer une application de plus, un peu comme lorsque vous vous connectez à Telegram sur un nouvel ordinateur. Il faut donc comprendre trois choses : ce que cette application s’interdit elle-même, ce que vous choisissez vous-même et comment tout désactiver si vous changez d’avis.

Ce qui se passe à la connexion

Un bot ordinaire ne voit que ce qui le concerne : selon les règles de Telegram, votre nom public, votre nom d’utilisateur, votre photo de profil et les messages que vous lui avez envoyés. Connecter un compte donne beaucoup plus à une application.

Lors d’une connexion par QR code, l’application demande à se connecter à votre compte, et vous confirmez en scannant le code dans votre propre Telegram. Ensuite, une nouvelle session apparaît dans « Paramètres » → « Appareils », à côté de votre téléphone et de votre ordinateur portable.

Une telle session peut-elle lire vos conversations privées ? Techniquement, oui. Telegram ne délivre pas de connexion « pour un seul canal » : la session ouvre le compte entier. Ce que l’application lit réellement dépend des règles du service lui-même. C’est donc précisément cela qu’il faut vérifier.

Le conseil de Telegram de ne pas communiquer son code de connexion reste valable. Si un bot vous demande de lui envoyer dans le chat le code du message de service de Telegram, vous lui donnez exactement ce que Telegram demande de ne donner à personne. Avec une connexion par QR code, aucun code n’est à transmettre. Mais si la validation en deux étapes est activée, vous saisirez le mot de passe sur la page de connexion, et il importe alors de savoir ce que le service en fait.

Ce qu’il faut demander au service avant de connecter votre compte

Ces questions valent pour tout bot ou toute application qui vous demande votre compte.

• Ce qu’il fait du code et du mot de passe : s’il les conserve.
• Ce qu’il lit et qui le choisit. Une bonne réponse : uniquement les canaux que vous avez explicitement choisis, et la connexion seule ne déclenche rien.
• S’il lit vos conversations privées.
• Ce que deviennent les textes : s’ils sont conservés et où ils sont envoyés.
• S’il agit en votre nom : rejoint des canaux, envoie des messages, marque des publications comme lues, vous affiche « en ligne ».
• Comment se déconnecter et ce qui arrive ensuite à la session.
• Ce que le service ne promet pas. S’il affirme qu’il n’y a aucun risque, c’est une raison de se méfier : les restrictions sur un compte sont imposées par Telegram, pas par le service.

Si vous ne trouvez pas de réponse à l’une de ces questions, il est trop tôt pour connecter votre compte principal à ce service.

Comment «Essence» Bot répond à ces questions

Vous pouvez connecter votre compte après avoir ajouté votre premier canal public : dans le bot, ouvrez « Paramètres » → « Compte Telegram personnel » ou la commande /personal_account.

Code et mot de passe. La connexion se fait par QR code sur une page protégée, et le mot de passe de la validation en deux étapes s’y saisit aussi. Le code et le mot de passe ne sont pas envoyés au bot sous forme de messages, ne sont pas conservés et ne se retrouvent pas dans les journaux. Dans « Appareils », la session porte le nom Posuti, elle est donc facile à reconnaître.

Ce qui est lu. La connexion seule ne lance la lecture d’aucun canal. Vous choisissez un canal privé auquel votre compte a accès et vous voyez ce qui va se passer : le bot lira les nouvelles publications, conservera leurs textes et transmettra le texte à l’IA pour le résumer. Vous autorisez ce traitement séparément pour chaque canal. L’historique du canal antérieur à la connexion n’est pas chargé : seules les nouvelles publications sont traitées.

Ce que le bot ne lit pas. Les conversations privées et le contenu protégé contre la copie.

Ce que le bot ne fait pas en votre nom. Il ne rejoint pas le canal, ne modifie pas ses paramètres, ne marque pas les publications comme lues et ne change pas votre statut « en ligne ».

Ce que vous recevez. D’un canal privé, vous ne recevez que du texte traité : un résumé ou le résultat de votre propre instruction, sans l’original ni ses pièces jointes. Si une publication n’a pas pu être traitée, le bot ne met pas un morceau du texte original à la place du résumé.

Vos textes ne sont pas mélangés à ceux des autres. Les textes et résumés des canaux privés sont liés à votre connexion. Si une autre personne a connecté le même canal, vous ne partagez pas de cache. Le contenu et les noms des canaux ne se retrouvent ni dans les journaux ni dans les statistiques du service.

Comment révoquer l’accès

Il existe deux moyens, et l’un ne remplace pas l’autre.

• Dans le bot. Sur la page « Compte Telegram personnel », déconnectez le compte. Le bot supprimera la session de son côté et la fermera dans Telegram, et les tâches liées aux canaux privés s’arrêteront. Les textes conservés de ces canaux ne sont plus servis nulle part. Les résumés déjà envoyés restent dans votre chat. Si un seul canal ne vous est plus utile, retirez-le de vos sources sans déconnecter le compte.
• Dans Telegram. Dans « Paramètres » → « Appareils », vous pouvez mettre fin à n’importe quelle session. Cela fonctionne même si le service est indisponible.

Si vous avez connecté votre compte pour un seul canal et que vous ne le lisez plus, déconnectez le compte. Un accès que vous n’utilisez pas est plus facile à fermer qu’à garder en tête.

Ce qui reste un risque

Même si un service se limite avec soin, deux risques subsistent.

Le premier, ce sont les restrictions de Telegram. Telegram peut restreindre un compte, et le service ne décide pas à sa place. Sur la page de connexion, vous pouvez indiquer votre propre proxy ou vos propres api_id et api_hash, mais ni l’un ni l’autre ne protège le compte contre les restrictions.

Le second, c’est la confiance. Le service conserve la session sous forme chiffrée, mais vous ne pouvez pas vérifier de l’extérieur qu’il respecte ses propres règles. Vos outils de contrôle : ne connecter que les canaux dont vous avez besoin, consulter de temps en temps la liste des appareils et déconnecter ce que vous n’utilisez pas.

Si ce risque ne convient pas à votre compte principal, rien ne vous oblige à connecter des canaux privés. Le bot lit les canaux publics sans votre compte. Pour le récapitulatif d’un groupe dont vous êtes administrateur, votre compte n’est pas nécessaire non plus : le bot rejoint le groupe comme un membre ordinaire.