Como obter o token do bot do Telegram e mantê-lo seguro

Resumo. O token de um bot do Telegram vem do @BotFather: envie /newbot, escolha um nome e um nome de usuário terminado em bot, e o token chega — 110201543:AAHdq…. Perdeu? /mybots → seu bot → API Token. Vazou? Revogue ali mesmo e o antigo para de funcionar. Confira qualquer token com getMe — ou no verificador de token gratuito, que também lista os chat IDs do seu bot. E para a Bot API você não precisa de mais nada: os valores api_id / api_hash do my.telegram.org são para aplicativos que se comunicam com o Telegram pelo MTProto.

O token é a única coisa que toda integração de bot do Telegram pede, de um script de cinco linhas a um serviço de automação ou um agente de IA. Conseguir leva um minuto; a maior parte da dor de cabeça vem depois — achar de novo, diferenciar das outras credenciais do Telegram e saber o que fazer no dia em que ele for parar onde não devia.

Passo a passo: como pegar o token no BotFather

1. Abra o @BotFather — o bot do próprio Telegram para criar e gerenciar bots — e toque em Iniciar (Start).
2. Envie /newbot.
3. Envie um nome de exibição. Ele aparece nos chats e nos contatos e pode ser mudado depois.
4. Envie um nome de usuário. Ele precisa terminar em bot (tetris_bot, TetrisBot), ter de 5 a 32 caracteres entre letras latinas, dígitos e sublinhados e — ao contrário do nome — não pode ser mudado depois. Um jeito rápido de ver se um nome está livre é o verificador de nome de usuário.
5. O BotFather responde com o token.

O token tem esta cara: 110201543:AAHdqTcvCH1vGWJxfSeofSAs0K5PALDsaw — dígitos, dois-pontos e depois uma sequência longa de letras, dígitos, hífens e sublinhados. Toda requisição à Bot API o leva no endereço, depois da palavra bot: https://api.telegram.org/bot<token>/getMe.

O BotFather também tem um Mini App que faz tudo isso com botões em vez de comandos — mesmo resultado, mesmo token.

Como achar o token de um bot que você já tem

Envie /mybots para o @BotFather, escolha o bot e abra API Token. É o único lugar em que o Telegram o mostra: nem no perfil do bot, nem no chat dele, nem nas configurações do Telegram. Se você criou o bot há muito tempo e não lembra qual conta é a dona, é aquela em cuja conversa com o BotFather o bot aparece em /mybots.

Como conferir se um token funciona

A Bot API tem um método feito exatamente para isso: getMe, «um método simples para testar o token de autenticação do seu bot». Quando o token está certo, ele responde com o nome, o nome de usuário e o ID do bot. Há dois jeitos de chamá-lo:

• abra https://api.telegram.org/bot<token>/getMe no navegador, com o seu token no lugar de <token>;
• cole o token no verificador de token de bot, que envia a mesma requisição direto do seu navegador para api.telegram.org e depois lê as atualizações recentes do bot para listar cada chat com o seu chat ID.

O que as respostas significam:

O Telegram responde	Significa
o nome, o nome de usuário e o ID do bot	o token funciona
Unauthorized (401)	o token foi digitado errado, ou foi revogado e substituído no BotFather
Not Found (404)	o endereço não tem token nenhum — faltam os dois-pontos ou a palavra bot antes dele

Token vazado: revogue agora

Quem tem o token controla o bot: lê o que é enviado para ele, escreve como ele, muda as configurações dele. O tutorial do Telegram diz para tratá-lo como uma senha e que ele pode ser revogado a qualquer momento pelo @BotFather.

Se um token foi colado num repositório público, numa captura de tela, num documento compartilhado ou num chat em que você não confia, revogue-o em @BotFather → /mybots → seu bot → API Token. O bot ganha um token novo e o antigo para de funcionar — tudo o que rodava com o token antigo é desconectado, inclusive o seu próprio código, então coloque o token novo onde o seu bot roda logo em seguida.

Onde guardá-lo desde o começo: o tutorial do Telegram sugere um arquivo de configuração ou variáveis de ambiente, e não o próprio código. Código é compartilhado, ganha forks e é colado em perguntas; uma variável de ambiente no servidor, não.

O token não é o API ID nem o hash

Uma confusão comum: o my.telegram.org emite um api_id e um api_hash em «API development tools». Eles identificam um aplicativo que se comunica com o Telegram pela API MTProto — principalmente clientes próprios que entram como uma conta de usuário, e também bibliotecas MTProto para bots e um servidor próprio da Bot API, que pedem esses valores além do token. A Bot API comum em api.telegram.org — a que a maioria dos serviços de bots e automações usa — aceita o token do BotFather e nada mais.

Precisa mesmo copiar o token?

Nem sempre. O Telegram permite que um bot crie e gerencie outros — os bots gerenciados (managed bots): um aplicativo manda um link para você, o Telegram mostra uma janela com o nome e o nome de usuário do novo bot, você confirma e o aplicativo recebe o token do bot do próprio Telegram. O token nunca chega à sua área de transferência, então não há nada para colar nem para vazar. O AdminHub conecta o bot de um canal assim — o guia para criar um bot para o seu canal mostra os dois caminhos, e criar um bot sem programar explica o que colocar para rodar por trás dele.

O que fazer com o token depois

A maioria das integrações pede dois valores: o token e um chat ID — onde o bot deve publicar. O guia de chat ID cobre todo tipo de chat; o verificador de token encontra os IDs dos chats com que o seu bot já conversa.

---

Fontes, conferidas em outubro de 2026: Telegram Bot API — Authorizing your bot (formato do token e endereço da requisição), getMe; Bot features — BotFather (/newbot, regras do nome de usuário, gerar um token novo, o Mini App do BotFather), Managed Bots; Bot tutorial — revogar um token, tratá-lo como uma senha, mantê-lo fora do código; Obtaining api_id — para que servem o api_id e o api_hash.