Mini App в Telegram: что проверить после защиты 20 июля

Что именно изменилось 20 июля

В обзоре Bot API 10.2 от 14 июля 2026 года есть короткая запись про безопасность мини-приложений. Telegram запретил использовать методы Mini App с адресов, которые отличаются от исходного домена мини-приложения. Защиту включили всем автоматически 20 июля. Отказаться можно через мини-приложение BotFather, но тогда вы подтверждаете, что сами отвечаете за отсутствие в приложении ссылок на недоверенные сайты. Это пересказ записи из официального журнала изменений Bot API.

Поправка к формулировкам, которые ходят в чатах. Слов «обязательная доменная защита», «подтверждение домена» или «список разрешённых доменов» в документации Telegram я не нашёл. Файл на сервер класть и список в боте заполнять не нужно. Правило такое: страница, которая вызывает методы Telegram, должна жить на том же домене, что и ваше мини-приложение.

Если у вас один домен и всё грузится оттуда, вы, скорее всего, ничего не заметили. Риск у тех, у кого приложение собрано из кусков. Например, адрес в BotFather ведёт на страницу, которая перекидывает на другой домен. Или каталог на основном сайте, а запись и оплата открываются во встроенном окне чужого сервиса. Или приложение перенесли на новый домен, а в боте осталась старая ссылка. Это мои предположения о том, где правило может сработать. Как именно Telegram считает адрес «отличающимся», в документации не сказано. В вебе источник складывается из протокола, хоста и порта, поэтому поддомен обычно считается другим. Подтверждения от Telegram по поддоменам у меня нет, проверяйте тестом.

Чек-лист проверки за вечер

Первое: адрес мини-приложения в BotFather. Сравните ссылку с тем, что реально открывается у клиента. Если она перекидывает на другой домен, это главный подозреваемый. Документация требует для адреса HTTPS, так что проверьте и сертификат: не просрочен, цепочка отдаётся полностью.

Второе: откуда грузятся страницы внутри приложения. Откройте его в браузере с инструментами разработчика и посмотрите сетевые запросы. Ищите чужие домены, чьи страницы открываются целиком, а не просто картинки и шрифты.

Третье: кнопки, которые используют методы Telegram. Главная кнопка, «Назад», вибрация, открытие ссылок, передача данных боту. Нажмите каждую на каждом экране, включая оплату и подтверждение заказа. Эти экраны делают последними и чаще всего на стороннем домене.

Четвёртое: перенос на новый домен. Если вы переезжали после июля, замените адрес в BotFather и уберите старый домен из прямых ссылок, меню бота и закреплённых сообщений.

Пятое: разные клиенты. Откройте приложение в Telegram на Android, на iPhone, в десктопной и веб-версии. В документации описан отладочный режим для платформ, с ним видны ошибки в консоли. Если ошибка только на одном клиенте, причина может быть в старой версии Telegram у пользователя.

Шестое: проверка данных запуска на сервере. Новая защита её не заменяет. По документации сервер получает строку initData и сверяет подпись: секретный ключ строится из токена бота, итог сравнивается с полем hash, а поле auth_date можно проверять, чтобы отсечь устаревшие данные. Если сервер верит тому, что прислал браузер, это дыра при любом домене. Как устроено приложение целиком, я описывал в статье Telegram Mini App: что это и когда заказывать.

Если приложение сломалось и как не потерять заказы

Сначала определите симптом. Не открывается совсем, открывается пустым или не работают отдельные кнопки. Пустой экран чаще про сертификат, адрес или сервер. Мёртвые кнопки при живом интерфейсе чаще про вызовы методов Telegram с неподходящего адреса. Тогда найдите, откуда грузится страница с этими кнопками, и перенесите её на домен приложения. Это работа разработчика, быстрой замены нет.

Отключить защиту в BotFather технически можно. Я бы делал это только как временную меру на пару дней и только если вы точно знаете, какие страницы открывает приложение. Для магазина, где вводят данные и платят, это плохая постоянная настройка.

Чтобы сбой не остановил продажи, заранее нужны три вещи. Запасная ссылка: обычная страница заказа на сайте или простая форма, ссылка лежит в закреплённом сообщении бота, и кнопку можно заменить за минуту. Режим бота: минимальный заказ в чате кнопками, с адресом и телефоном, как в статье про интерфейс прямо в чате вместо мини-приложения. Сигнал о тишине: бот пишет вам, если за обычный для вашего бизнеса промежуток не пришло ни одного заказа. Про магазин в мессенджерах я писал ещё в материалах про запуск продаж без сайта и про магазин в Telegram и MAX.

Что важно учесть

Я не видел вашего приложения и не знаю, зацепило ли его. Список основан на одной записи в журнале изменений. Telegram не опубликовал подробностей: какие вызовы блокируются, что видит пользователь, как выглядит ошибка. Всё про поддомены, перенаправления и встроенные окна здесь предположения.

Защита уже больше двух месяцев в работе. Если бы приложение сломалось целиком, вы бы заметили. Но редкий сценарий, например оплата, мог тихо перестать работать, и никто не пожаловался. Полный проход по кнопкам стоит сделать даже при полном спокойствии. Статья не заменяет консультацию специалиста, который видит ваш код.

Что можно сделать уже сейчас

Пройдите чек-лист и запишите, что нашли. Заведите запасную ссылку на заказ и закрепите её. Добавьте уведомление, если заказов нет дольше обычного. Если нет разработчика, который быстро ответит, договоритесь заранее, а не в день сбоя. Для этого есть Telegram-боты и мини-приложения под ключ.

Частые вопросы

Нужно ли что-то подключать или подтверждать у Telegram?

По официальному журналу изменений нет. Защита включена автоматически. Отдельной процедуры подтверждения домена в документации я не нашёл.

Можно ли просто отключить защиту?

Через BotFather можно, но тогда за ссылки на недоверенные сайты отвечаете вы. Для приложений с оплатой и персональными данными лучше оставить защиту включённой.

Как понять, что поломка связана именно с этим?

Интерфейс открывается, а кнопки Telegram не реагируют: причина может быть в адресе страницы. Не открывается вообще: сначала проверьте сертификат и сервер.

Коротко о главном

Страница, которая обращается к методам Telegram, должна находиться на домене мини-приложения. Защита работает с 20 июля 2026 года, включать её не нужно. Проверьте адрес в BotFather, пройдите все кнопки на всех клиентах, убедитесь, что сервер проверяет подпись данных запуска, и заведите запасной путь для заказов.

Есть мини-приложение для магазина, записи или клуба, и непонятно, всё ли в нём в порядке после июльского изменения? Напишите мне в Telegram слово «ТЕЛЕГРАММ». Посмотрим, откуда грузятся ваши страницы, и я скажу, что поправить.