Приёмка купленного Telegram-аккаунта

Большинство аккаунтов теряют в первый час, а не в первый месяц. Купленный аккаунт переходит из рук в руки, когда прежний владелец по-прежнему знает всё необходимое, чтобы забрать его обратно, а обычная реакция - зайти, осмотреться, начать работать - сжигает оба ваших преимущества: возможность проверить всё до первого движения и возможность отказаться, пока вы в аккаунт ещё ничего не вложили.

Дальше идёт порядок операций. Прочитать его стоит до покупки, а не после, потому что два шага опираются на то, что нужно подготовить заранее.

Что вы на самом деле покупаете

Telegram-аккаунт - это не логин с паролем. Это набор авторизаций, то есть долгоживущих ключей, по одному на каждое устройство, которое когда-либо входило, привязанных к номеру, которым по-прежнему распоряжается оператор. Купить аккаунт означает купить один из этих ключей. Это не значит, что остальные перестали работать, и не значит, что номер стал вашим.

• Сессии, которых вы пока не видите, - сразу в двух смыслах. Каждое устройство продавца держит собственный ключ, и сама сделка их не отзывает. А ключ, который выдали вам, - копия: оригинал остался у продавца, и в списке устройств он не вторая строка, а та же самая.
• Облачный пароль, который может уже стоять, поставленный чужими руками, с адресом восстановления, ведущим в чужой ящик.
• Почта для входа, если её привязали, - второй, отдельный адрес, который получает каждый код входа вообще без SMS. Он переживает всё, что ниже, если специально его не искать.
• Настоящий владелец номера - тот, кто может принять на него SMS: продавец, сервис аренды номеров или человек, у которого аккаунт забрали.
• История: чаты, группы, всё, что аккаунт делал до вас, и все жалобы, которые это поведение собрало.
• Идентичность устройства, вшитая в ключ, - поэтому формат выдачи имеет значение, см. форматы tdata и session.

Задача приёмки - сократить этот список до одного ключа, выписанного вами и лежащего только у вас, одного пароля, который поставили вы, и двух адресов - восстановления и для входа, - оба в вашем почтовом ящике. Всё, что осталось сверх этого, - чужие права на аккаунт.

Прокси должен быть готов до первого входа

Этот шаг обычно делают последним, а делать надо первым. Самое первое соединение, которое аккаунт устанавливает под вашим управлением, задаёт сетевой рисунок для всего последующего, и один вход с офисного IP или случайного VPN не отменяется тем, что потом всё поправили.

1. Купите статический выделенный прокси в стране номера аккаунта ещё до того, как аккаунт приедет. Не ротационный пул и не собственное подключение, см. какие прокси покупать.
2. Проверьте точку выхода: подтвердите страну и прогоните адрес через сервис репутации, пока возврат ещё возможен.
3. И только потом привязывайте прокси к аккаунту, чтобы первое же соединение пошло через него.

Первая сессия: импортировать, а не осматриваться

Импортируйте аккаунт через платформу, а не входите сначала вручную где-то ещё. Архив tdata несёт ту идентичность устройства, с которой аккаунт создавали, и импорт сохраняет этот ключ вместо выпуска нового; свежий вход из незнакомого клиента объявляет новое устройство на аккаунте, только что сменившем владельца, - ровно тот рисунок, который притягивает внимание. Сохранить ключ - верный ход на первые часы, но не постоянная схема: сохранённый ключ это копия продавцовского. Что с этим делать, разбирает секция про сессии.

А дальше не трогайте его. Соблазн - прочитать переписку, проверить юзернейм, куда-нибудь вступить. Каждое из этих действий совершается на аккаунте, права на который вы ещё не закрепили, - и если прежний владелец наблюдает, вы только что сообщили ему, что аккаунт живой и его стоит вернуть.

Держите одного водителя. Два инструмента, работающие одним ключом одновременно, дают ошибку дублирования и могут аннулировать авторизацию целиком, - разбор под заголовком один ключ, один водитель.

Сессии: список показывает устройства, а не копии

Это шаг, который решает вопрос владения, и его же чаще всего пропускают, потому что аккаунт прекрасно работает и без него. Работает - в том числе и для продавца. Но под словами «почистить сессии» прячутся две разные задачи, и в списке видна только одна из них.

На эту секцию ссылаются соседние гайды вместо того, чтобы пересказывать её, поэтому весь порядок передачи собран здесь: что выселяется, что не выселяется вовсе и какими шагами прекращается совместное владение. За её пределами остаются две вещи, и обе обязательны: прокси привязывают до первого соединения, а после аккаунт уходит в карантин, а не в работу.

Чужие устройства: их видно, и они выселяются

Откройте список активных сессий аккаунта и завершите всё, кроме той, из которой работаете. Не пытайтесь угадать, какие записи безобидны: сессия, происхождение которой вы не можете объяснить, по определению не ваша. Если список длинный, а имена устройств незнакомы, это само по себе кое-что говорит о том, как аккаунт держали. Так закрываются чужие устройства и только они: копии ключа, который у вас в руках, в списке нет вовсе - об этом следующий блок.

Копия вашего ключа: её в этом списке нет вовсе

Файл, который вам прислали, - это и есть авторизация: tdata и session-строка это ключ в обёртке, и передача такого файла ключ не переносит, а копирует. Оригинал остался у продавца, и оригинал с копией - один и тот же ключ. Поэтому список устройств показывает одну строку, когда аккаунтом пользуются двое: со стороны сервера показывать нечего, второго входа не было. Код никто не вводил, пароль никто не спрашивал, новый ключ не выпускался, счётчик устройств не сдвинулся. Поэтому совет, который повторяют все, - «завершите сессии, которые создавали не вы», - верен про чужие устройства и слеп здесь: завершать в списке нечего, единственная строка, в которой сидит проблема, это та, в которой сидите вы.

Есть у этого и более острая грань. Коды входа Telegram доставляет в сам Telegram: пока у аккаунта есть живая сессия, код приходит в служебный чат, прямо в приложение. Значит, копия ключа - это не только чтение переписки, это место, куда падают коды. Тот, у кого копия, прочитает код от попытки входа на номер, вообще не прикасаясь к номеру, - а значит, обе двери, которые этот код открывает (удаление аккаунта и сброс пароля), открыты и ему.

Замена ключа: порядок, который прекращает совместное владение

Копию нельзя отобрать - её можно только обесценить. Отзыв авторизации убивает сразу все её копии, поэтому порядок такой: сначала завести собственный ключ, потом отозвать общий.

1. Выселите устройства, которые видно, из той сессии, которую вам выдали. Она обычно уже достаточно старая, чтобы ей это позволили, а авторизация, выписанная минуту назад, - нет, о чём и предупреждение выше. Это убирает чужие устройства и ничего не решает про владение: копии ключа, который у вас в руках, в списке нет.
2. Сначала сделайте облачный пароль своим - об этом следующая секция. Вход по QR на аккаунте с паролем всё равно спросит пароль, так что отложить этот шаг не выйдет; а если пароль стоит и продавец его не отдаёт - остановитесь и прочитайте, когда аккаунт пора списать.
3. Выпишите собственную авторизацию входом по QR из той сессии, которая у вас уже есть. Новое устройство подтверждает имеющаяся сессия, поэтому код никуда не отправляется - ни на номер, ни в почту, - и перехватывать нечего. Это тот же механизм, что стоит за экспортом аккаунта: импорт сохраняет, экспорт выпускает.
4. Переведите работу на новый ключ и перестаньте работать тем, который вам выдали: один водитель на ключ, как и всегда (один ключ, один водитель).
5. Подождите примерно сутки. Авторизации младше суток Telegram не даёт завершать чужие сессии, и выкупить это время нечем.
6. И только теперь отзовите ту авторизацию, которую вам выдали. Ровно в этот момент копия продавца перестаёт работать - потому что это один и тот же ключ. До этого момента ничего из сделанного его доступ не убирало.

Да, так на аккаунте, только что сменившем владельца, появляется новое устройство - ровно тот рисунок, которого велит избегать секция про первую сессию. Это честная цена, платится она один раз, и покупает единственное, что прекращает совместное владение. Не делать перевод - тоже выбор, и сформулировать его стоит прямо: аккаунт остаётся общим с тем, у кого лежит файл, до конца своей жизни. Если файл продали не одному покупателю, утешение одно: тот же единственный отзыв выселяет всех разом - умирает ключ, а не человек.

Заберите пароль, оба адреса - и ключ

К вам должны перейти три разных права, и обычный способ потерять аккаунт - забрать два из трёх. Ключ - это предыдущая секция. Пароль вместе с адресом восстановления - эта. Почту для входа находят последней, если находят вообще. Любого из трёх достаточно, чтобы аккаунт вернулся к кому-то другому.

Облачный пароль - то, что стоит между украденным SMS-кодом и потерянным аккаунтом, поэтому он должен быть вашим, а не просто изменённым. Разница не косметическая: смена существующего пароля оставляет привязанной почту восстановления прежнего владельца, а значит, оставляет ему дорогу назад. Снимите пароль полностью, затем поставьте новый с нуля, затем руками привяжите собственный адрес восстановления.

Дальше ищите второй адрес - тот, по которому этот шаг обычно называют лишь наполовину верно. Почта для входа - это не адрес восстановления, и всё сделанное выше её не касается: она получает коды входа напрямую, так что продавец, оставивший её себе, сохранил рабочую дорогу внутрь. Хуже того, одного кода входа достаточно, чтобы аккаунт потерять целиком, - облачный пароль при этом не спрашивают вовсе, - и потому этот адрес важнее пароля, который вы только что поставили. Замените его либо считайте аккаунт взятым взаймы.

Дверей этот код открывает две, а не одну, и вторая тише первой. Первая - удаление аккаунта: аккаунт стирают целиком, номер освобождается. Вторая - сброс пароля: тот же код, пароль не спрашивают, дальше семь суток ожидания, по истечении которых двухэтапная проверка снимается, завершаются все сессии аккаунта, включая вашу, а аккаунт достаётся целиком - с историей, каналами и прогревом. Удаление аккаунта уничтожает то, за что вы заплатили; сброс пароля это забирает себе. Вот настоящая причина, по которой адрес, куда приходят коды, важнее всего остального на этой странице, а сам сброс стоит прочитать целиком там, где он разобран: семь суток, о которых аккаунт не напомнит.

Порядок тоже не свободен: пароль должен стать вашим прежде, чем вы сможете выписать собственный ключ, а ключ - прежде, чем вашим станет аккаунт. Отсюда последовательность: прочитать текущее состояние, выселить видимые чужие устройства, заменить пароль, привязать свой адрес восстановления, выписать ключ, выждать сутки, отозвать выданный ключ, заменить почту для входа. Выселение стоит рано, потому что это гигиена устройств, а не владение: оно убирает чужие устройства, но никогда - копию вашего ключа. Пошагово передача расписана в секции про сессии.

Механика, карантины, которые Telegram накладывает после этого, какой из двух адресов платформа может переставить за вас, а какой нет, и смысл входа, застрявшего на запросе пароля, разобраны в гайде, который владеет этой темой: облачный пароль, и отдельно - почта для входа.

Карантин: та часть, которая выглядит бездельем

Когда ключ стал эксклюзивным, а пароль вашим, аккаунт всё ещё не должен идти в работу. Дайте ему тихий период, в котором он просто существует, подключается через свой прокси и больше ничего не делает. Проверяются две вещи. Первая - не попытается ли кто-нибудь его вернуть: попытка отъёма обычно случается рано, и встретить её гораздо лучше на простаивающем аккаунте, чем на том, где уже идут живые переписки. Вторая - не лежит ли на аккаунте ограничение, о котором продавец умолчал, а вы его пока не задели.

Сколько держать - вопрос суждения, а рыночные советы про «отлёжку» ближе к фольклору, чем к методике: честный разбор лежит под заголовком отлёжка - рыночный термин. Что вопросом суждения не является, так это последовательность: карантин идёт после закрепления прав, а не до, потому что тихий аккаунт, который вы ещё не контролируете, - это просто аккаунт, до которого по-прежнему может дотянуться кто-то другой.

• Следите за списком чатов самого аккаунта, а не за почтовым ящиком. Захват объявляет о себе ровно один раз и дальше идёт молча: когда сброс пароля запрашивают, Telegram сообщает об этом служебным сообщением прямо в приложении - только там мы его и видели, - а дальше семь суток просто идут, аккаунт работает ровно как раньше, вплоть до минуты, когда пароль снимут, а сессии убьют. Если такое уведомление появилось, а запрос делали не вы, отклоните сброс немедленно, из любой ещё живой сессии: кнопка есть в самом уведомлении. Отмена снимает этот запрос. Может ли тот же человек взвести следующий и как скоро - мы не измеряли, поэтому считайте это выигранным временем, а не закрытой дверью.
• Следите, не появляются ли сессии снова: возникшая заново чужая сессия означает, что номер по-прежнему доставляет коды кому-то ещё.
• Следите за заморозкой или ограничением, прилетевшим без всяких действий с вашей стороны, - это указывает на унаследованную историю, а не на ваше поведение.
• Не добавляйте аккаунт в кампании, не отправляйте первое сообщение, не вступайте никуда по расписанию.

Передавайте в прогрев, а не в бой

После карантина аккаунт всё ещё не рабочий. Это аккаунт с неизвестной поведенческой базой, новой сетью и новым оператором, что с точки зрения Telegram близко к свежей регистрации независимо от его возраста. Считайте первые недели прогревом, дайте отработать капам и окнам и читайте журнал действий, а не считайте тишину признаком здоровья.

Здесь же тихо рассыпается и экономика покупки. Надбавку за отлежавшийся аккаунт продают как возможность пропустить разгон, но разгон всё равно придётся пройти: новое устройство, новый прокси, новое поведение. Купили вы, по сути, дату регистрации, а не срезанный путь.

Когда аккаунт пора списать

Часть аккаунтов правильнее бросить, чем спасать, и дешевле всего принять это решение до того, как в них вложены недели прогрева и живая история переписок. Любого из признаков ниже достаточно самого по себе:

• Завершённые вами сессии возвращаются. Кто-то ещё может авторизоваться, а значит, может получать коды. Изнутри аккаунта это не чинится ничем.
• Вход доходит до запроса пароля и останавливается. Код уже получен и использован кем-то, кроме вас, и удержал только пароль - а держит он время, а не насовсем: следующий доступный им ход это сброс пароля. Считайте это сроком, а не шрамом: вход, застрявший на запросе пароля.
• Облачный пароль стоит, а продавец его не отдаёт. Тогда вы не можете выписать собственный ключ - вход по QR спросит этот же пароль, - а значит, не можете перестать делить выданный. Пересидеть семисуточный сброс пароля тоже не выход: сброс отклоняется из любой ещё живой сессии, а копия ключа у продавца - это живая сессия.
• Продавец по-прежнему имеет доступ к почте восстановления или к почте для входа и не хочет или не может её отвязать.
• Аккаунт приехал замороженным или ограниченным либо стал таким во время карантина без единого действия с вашей стороны, см. заморозка, бан, ограничения.
• Под страну номера нет прокси, который вы реально можете купить.

Списать дешёвый аккаунт рано - потеря меньшая, чем узнать всё то же самое позже, когда внутри уже прогретая репутация и переписки ваших клиентов. Эта асимметрия - низкая цена и высокие последствия - и есть весь аргумент в пользу того, чтобы регистрировать свои.