Telegram Mini App Alan Adı Değişiminde Origin Koruması Nasıl Test Edilir?

Kısa yanıt

Telegram Mini App'iniz kendi alan adından başka bir alan adına yönleniyorsa Telegram'a ait Mini App yöntemlerinin yeni sayfada çalışacağını varsaymayın. Telegram'ın 2026 Bot API değişiklik kaydı, uygulamanın ilk alan adından farklı origin üzerinde bu yöntemlerin kullanımını engelleyen korumayı açıklıyor. Alan adı değişikliği, ödeme veya teklif formu dönüşümünü yalnızca sayfa açılıyor diye kabul etmeyin; yöntem çağrısı, kimlik verisi doğrulaması ve geri dönüş yolunu birlikte test edin. Resmî değişiklik kaydı korumanın kapsamını ve BotFather'daki istisna seçeneğini belirtir.

Önce gerçek yönlendirme haritasını çıkarın

Mini App başlangıç URL'sini, yönlendirme zincirini, alt alan adlarını ve harici sayfalara geçişleri tek listede toplayın. Bir pazarlama sayfası, destek merkezi veya ödeme sağlayıcısı farklı origin'e geçebilir. Kullanıcı ekranda aynı markayı görse bile tarayıcı güvenlik bağlamı değişebilir. Hangi sayfada Telegram.WebApp yöntemine ihtiyaç duyulduğunu ayrı işaretleyin. Harici sayfa yalnızca bilgi gösteriyorsa aynı teknik teste ihtiyacı olmayabilir; botla konuşan veya Telegram arayüzünü kullanan sayfa için gereklidir.

Bu konu, Telegram Mini App ile teklif formu tasarlama rehberindeki alan, CRM ve gönderim kararlarından farklıdır. Burada kullanıcının teklif formunu hangi alanda doldurduğu ve Telegram yöntemlerinin yönlendirme sonrasında nasıl davrandığı incelenir. Teklif formu başarılı görünse bile backend'e güvenilir kimlik bağlanamıyorsa işlemi tamamlanmış saymayın.

Korumanın ne yaptığını doğru okuyun

Telegram, Bot API 10.2 duyurusunda Mini App yöntemlerinin ilk Mini App alan adından farklı origin'de kullanılmasını engelleyen korumayı anlattı ve 20 Temmuz 2026'da tüm Mini App'ler için etkinleşeceğini bildirdi. BotFather Mini App içinden bir istisna seçeneği sunuluyor; ancak bu seçeneği açınca güvenilmeyen bağlantıları denetleme sorumluluğu bot sahibine kalır. Kolay bir hata giderme düğmesi gibi kullanmayın. Önce yönlendirmeyi gerçekten gerekli olup olmadığına göre yeniden tasarlayın.

Koruma, sunucudaki kimlik doğrulamasının yerini tutmaz. Telegram'ın Mini App rehberi initDataUnsafe verisine güvenilmemesini ve ham initData değerinin bot sunucusunda doğrulanmasını söyler. Origin sınırı tarayıcıdaki yöntem çağrılarını etkiler; sunucu yine kendisine gönderilen veriyi doğrulamalıdır. İki kontrolü tek güvenlik etiketi altında birleştirmek, hatalı kabul testine yol açar.

Test akışını kurun

Önce Telegram içinden Mini App'i normal başlangıç yoluyla açın. Başlangıç origin'ini kaydedin ve temel yöntem çağrılarının çalıştığını kontrol edin. Sonra her yönlendirmeyi sırayla izleyin: aynı alan adı içi rota, alt alan adı, harici alan adı ve uygulamaya dönüş. Her adımda kullanılan yöntemi ve kullanıcıya görünen sonucu kaydedin. Harici sayfada yönteme ihtiyaç varsa bunu tasarım sorusu olarak işaretleyin; başarısızlığı yalnızca istemci hatası diye kapatmayın.

Ardından backend'e giden initData doğrulamasını ayrı test edin. Geçerli, bozulmuş ve eski veri örneklerinde sunucunun ne yaptığına bakın. Kimlik alanını arayüzde görmenin kimliği doğruladığı anlamına gelmediğini ekibe açıkça anlatın. Kimlik doğrulaması başarısızsa kullanıcıya yeniden açma veya destek yolunu gösterin; talebi sessizce anonim işlem olarak kaydetmeyin. Bu testte gerçek bot tokenını günlük, ekran görüntüsü veya üçüncü taraf raporuna koymayın.

Geçiş ve hata senaryoları

Yeni alan adına taşınan Mini App'te en sık gözden kaçan durum, eski bağlantıların hâlâ açılmasıdır. Bot mesajlarındaki derin bağlantıları ve kayıtlı kısayolları deneyin. Yönlendirme sonunda ready, kapatma veya ana düğme davranışı kırılıyorsa kullanıcı ekranı bitmiş sanabilir. Form gönderildiği hâlde bot yanıtı gelmiyorsa işlem kaydını backend tarafında araştırın; aynı talebi iki kez oluşturmadan yeniden deneme yolu verin.

Test ortamındaki alan adını üretim için güven varsayımı yapmayın. Test ve canlı alanları ayrı tanımlayıp her birinde istemci sürümü ve açılış yolunu kaydedin. Bir cihazda açılan sayfanın başka istemcide aynı Telegram yöntemlerini desteklediğini varsaymayın. Koruma istisnası gerekiyorsa kullanım nedeni, izin verilen yönlendirmeler, güvenilmeyen link kontrolü ve geri alma planı yazılı olmalıdır.

Kabul ölçütü ve hizmet yolu

Kabul için sayfanın açılması, yöntemlerin doğru origin'de çalışması, sunucu kimlik doğrulamasının geçmesi ve kullanıcının işlemi tamamlaması birlikte gerekir. Her başarısızlıkta kullanıcıya anlaşılır yol gösterilmeli ve ekip işlem durumunu görebilmelidir. Yeni URL veya harici sağlayıcı eklendiğinde yönlendirme haritasını yeniden test edin; eski sonucun kalıcı olduğunu varsaymayın.

Webinle bot yazılımları ve entegrasyonlar hizmeti üzerinden Mini App alan adı geçişi ve bot bağlantısının kapsamını konuşabilirsiniz. Başlangıç URL'si, yönlendirme listesi, kullanılan Telegram yöntemleri ve anonimleştirilmiş hata çıktısı, somut test planı oluşturmayı kolaylaştırır. Amaç kullanıcıyı her sayfada aynı güvenli işlem akışında tutmaktır.

Alan adı değişimi için yayın planı

Önce mevcut başlangıç URL'sinin nerelerde dağıtıldığını bulun: bot menüsü, sabitlenmiş mesaj, kampanya bağlantısı, QR kod ve müşteri destek metni. Yeni alana geçişte yalnızca sunucu yönlendirmesi eklemek yeterli olmayabilir. Kullanıcının Telegram içindeki başlangıç bağlamı ile açılan sayfanın origin'i birlikte test edilmelidir. Geçiş gününde eski ve yeni bağlantıyla aynı temel işlemi deneyin; biri çalışıp diğeri kırılıyorsa yönlendirme akışını düzeltmeden kampanyayı yeni adrese taşımayın.

Dış hizmete geçiş gerekiyorsa Telegram yöntemlerini mümkün olduğunca asıl Mini App alanında tamamlayın. Harici sayfanın sadece kendi görevini yerine getirmesi, dönüşte Mini App'in işlem sonucunu sunucudan doğrulaması daha açık bir sınır oluşturur. Yönlendirme sonucunu yalnızca URL parametresine bakarak başarılı saymayın; sunucudaki işlem durumu ile eşleştirin. Ödeme gibi hassas akışlarda sağlayıcının kendi sonucu ve bot tarafındaki kayıt da ayrı doğrulanmalıdır.

İzleme ve bakım

Canlıya çıktıktan sonra hataları origin, açılış yolu ve kullanılan yöntem bazında gruplayın. Her kullanıcı hatasını “Telegram çalışmıyor” olarak toplamak, gerçek kırılma noktasını gizler. Alan adı, alt alan adı veya CDN ayarı değiştiğinde kısa kabul testini yeniden koşun. BotFather'daki koruma seçeneğinin mevcut durumunu ekip envanterinde tutun; test için açılan geçici istisnanın üretimde unutulmasına izin vermeyin. Güvenilmeyen sayfalara bağlantı ekleyen içerik veya kampanya değişikliklerini de aynı yayın kontrolüne dahil edin.