Cómo obtener el token del bot de Telegram y protegerlo

En corto. El token de un bot de Telegram te lo da @BotFather: envía /newbot, elige un nombre y un nombre de usuario que termine en bot, y llega el token: 110201543:AAHdq…. ¿Lo perdiste? /mybots → tu bot → API Token. ¿Se filtró? Revócalo ahí mismo y el antiguo deja de funcionar. Comprueba cualquier token con getMe, o en el comprobador gratuito de tokens, que además lista los chat ID de tu bot. Y para la Bot API no necesitas nada más: los valores api_id / api_hash de my.telegram.org son para apps que se comunican con Telegram a través de MTProto.

El token es lo único que piden todas las integraciones con bots de Telegram, desde un script de cinco líneas hasta un servicio de automatización o un agente de IA. Conseguirlo lleva un minuto; casi todos los problemas llegan después: volver a encontrarlo, distinguirlo de otras credenciales de Telegram y saber qué hacer el día que acaba donde no debería.

Paso a paso: cómo sacar el token de BotFather

1. Abre @BotFather, el bot del propio Telegram para crear y gestionar bots, y pulsa Iniciar (Start).
2. Envía /newbot.
3. Envía un nombre visible. Aparece en los chats y en los contactos, y se puede cambiar más adelante.
4. Envía un nombre de usuario. Tiene que terminar en bot (tetris_bot, TetrisBot), tener de 5 a 32 caracteres entre letras latinas, dígitos y guiones bajos y, a diferencia del nombre, no se puede cambiar después. Una forma rápida de ver si un nombre está libre es el comprobador de nombres de usuario.
5. BotFather responde con el token.

El token tiene este aspecto: 110201543:AAHdqTcvCH1vGWJxfSeofSAs0K5PALDsaw, es decir, dígitos, dos puntos y luego una tira larga de letras, dígitos, guiones y guiones bajos. Cada petición a la Bot API lo lleva en la dirección, detrás de la palabra bot: https://api.telegram.org/bot<token>/getMe.

BotFather también tiene una Mini App que hace todo esto con botones en vez de comandos: mismo resultado, mismo token.

Cómo encontrar el token de un bot que ya tienes

Envía /mybots a @BotFather, elige el bot y abre API Token. Es el único sitio donde Telegram lo muestra: ni en el perfil del bot, ni en su chat, ni en los ajustes de Telegram. Si creaste el bot hace tiempo y no recuerdas qué cuenta es la dueña, es aquella en cuyo chat con BotFather aparece el bot bajo /mybots.

Cómo comprobar que un token funciona

La Bot API tiene un método pensado justo para esto: getMe, «un método sencillo para probar el token de autenticación de tu bot». Si el token es correcto, responde con el nombre, el nombre de usuario y el ID del bot. Hay dos formas de llamarlo:

• abre https://api.telegram.org/bot<token>/getMe en el navegador, con tu token en lugar de <token>;
• pega el token en el comprobador de tokens de bot, que envía esa misma petición directamente desde tu navegador a api.telegram.org y después lee las actualizaciones recientes del bot para listar cada chat con su chat ID.

Qué significan las respuestas:

Telegram responde	Significa
el nombre, el nombre de usuario y el ID del bot	el token funciona
Unauthorized (401)	el token está mal escrito, o se revocó y se sustituyó en BotFather
Not Found (404)	la dirección no lleva ningún token: faltan los dos puntos o la palabra bot delante de él

Un token filtrado: revócalo ya

Quien tiene el token controla el bot: lee lo que le envían, escribe como si fuera él y cambia sus ajustes. El tutorial de Telegram dice que hay que tratarlo como una contraseña y que se puede revocar en cualquier momento desde @BotFather.

Si un token acabó pegado en un repositorio público, una captura de pantalla, un documento compartido o un chat del que no te fías, revócalo en @BotFather → /mybots → tu bot → API Token. El bot recibe un token nuevo y el antiguo deja de funcionar: todo lo que funcionaba con el token antiguo se desconecta, incluido tu propio código, así que justo después pon el token nuevo allí donde funciona tu bot.

Dónde guardarlo desde el principio: el tutorial de Telegram propone un archivo de configuración o variables de entorno en lugar del propio código. El código se comparte, se bifurca y se pega en preguntas; una variable de entorno en el servidor, no.

El token no es el API ID ni el hash

Una confusión habitual: my.telegram.org emite un api_id y un api_hash en «API development tools». Identifican una aplicación que se comunica con Telegram a través de la API MTProto: sobre todo clientes propios que inician sesión como una cuenta de usuario, y también bibliotecas MTProto para bots y un servidor propio de la Bot API, que los piden además del token. La Bot API habitual en api.telegram.org, la que usan la mayoría de los servicios de bots y automatizaciones, acepta el token de BotFather y nada más.

¿Hace falta copiar el token?

No siempre. Telegram permite que un bot cree y gestione otros bots, los llamados bots gestionados (managed bots): una app te envía un enlace, Telegram muestra una ventana con el nombre y el nombre de usuario del nuevo bot, tú confirmas y la app recibe el token del bot del propio Telegram. El token nunca llega a tu portapapeles, así que no hay nada que pegar ni que se pueda filtrar. AdminHub conecta así el bot de un canal: la guía para crear un bot para tu canal muestra las dos rutas, y crear un bot sin programar explica qué poner a funcionar detrás.

Qué hacer después con el token

La mayoría de las integraciones piden dos valores: el token y un chat ID, es decir, dónde debe publicar el bot. La guía del chat ID cubre todos los tipos de chat; el comprobador de tokens encuentra los ID de los chats con los que tu bot ya habla.

---

Fuentes, revisadas en octubre de 2026: Telegram Bot API — Authorizing your bot (formato del token y dirección de las peticiones), getMe; Bot features — BotFather (/newbot, reglas del nombre de usuario, generar un token nuevo, la Mini App de BotFather), Managed Bots; Bot tutorial — revocar un token, tratarlo como una contraseña, mantenerlo fuera del código; Obtaining api_id — para qué sirven api_id y api_hash.