Bot Telegram dla biznesu: przypadki użycia, koszt i bezpieczna konfiguracja PHP

Kiedy właściciele słyszą „bot Telegram”, często wyobrażają sobie zabawkę konsumencką. W praktyce bot to bardzo mały program, który łączy Twoje systemy z aplikacją do czatu, którą Twój zespół ma już na swoich telefonach. Może poinformować Cię o momencie otrzymania dużego zamówienia, poprosić menedżera o zatwierdzenie zwrotu pieniędzy jednym dotknięciem lub odpowiedzieć na typowe pytania klientów. Budujemy je w ramach naszej pracy integracyjnej i tak o tym myślimy.

Gdzie Telegram pasuje do amerykańskiej firmy

Bądź realistą w stosunku do swoich odbiorców. W Stanach Zjednoczonych klienci najczęściej korzystają z SMS-ów, iMessage, WhatsApp, poczty e-mail i czatu internetowego, a zespoły korzystają Slack lub Microsoft Teams. Telegram ma setki milionów użytkowników skupionych w Europie, Azji, na Bliskim Wschodzie i Ameryce Łacińskiej. To nadaje mu dwie jasne role:

• Operacje wewnętrzne. Jest prosty, szybki na urządzeniach mobilnych i ma bezpłatny, dobrze udokumentowany interfejs API botów. Wiele małych zespołów używa go do wysyłania alertów i zatwierdzania, ponieważ konfiguracja zajmuje godziny, a nie tygodnie.
• Klienci i społeczności międzynarodowe. Jeśli sprzedajesz klientom lub wspierasz ich na rynkach, na których domyślnym ustawieniem jest Telegram, bot spotyka się z nimi tam, gdzie się znajdują. Typowymi przykładami są społeczności produktowe, kanały ogłoszeń i grupy wsparcia.

Jeśli Twoimi klientami są głównie amerykańscy konsumenci, zacznij od czatu internetowego lub SMS-ów dla nich i zachowaj Telegram dla swojego zespołu. Ta sama logika automatyzacji działa w obu przypadkach.

Korzystaj z przypadków, które szybko się zwracają

• Alerty dotyczące płatności i przychodów: „Nowe zamówienie, 1240 USD, klient X” na czacie zespołowym oraz powiadomienia o nieudanych płatnościach i zwrotach środków. Połącz go z webhookami płatności, zgodnie z opisem w naszym przewodniku po webhookach Stripe.
• Alerty o błędach i czasie działania: komunikat w przypadku niepowodzenia tworzenia kopii zapasowej, kontroli stanu systemu na czerwono lub wystąpienia błędów. Zobacz nasz przewodnik dotyczący tworzenia kopii zapasowych i monitorowania, aby dowiedzieć się, co warto obejrzeć.
• Zatwierdzanie jednym dotknięciem: zwrot środków powyżej limitu, prośba o rabat, treść gotowa do publikacji. Menedżer klika Zatwierdź lub Odrzuć na czacie, a Twój system na to reaguje.
• Powiadomienia o nowych potencjalnych klientach: na czacie sprzedaży pojawia się formularz przesłania ze szczegółami i przyciskiem umożliwiającym jego odebranie. Szybszy pierwszy kontakt zwykle poprawia konwersję.
• Codzienne podsumowanie: krótkie poranne podsumowanie sprzedaży, rejestracji, biletów i incydentów.
• Wsparcie segregacji i FAQ: bot odpowiada na najczęściej zadawane pytania, a resztę przekazuje człowiekowi. Jeśli chcesz uzyskać odpowiedzi na temat AI na podstawie własnych dokumentów, przeczytaj nasz przewodnik po chatbotach AI, aby zapoznać się z kosztami, zwrotem z inwestycji i zabezpieczeniami.

Ile to kosztuje

Interfejs Telegram Bot API nie pobiera opłat za wiadomość w przypadku normalnego użytkowania. Rzeczywiste koszty to:

• Rozwój: prosty bot alertowy to kilka godzin pracy, proces zatwierdzania lub bot wsparcia zajmuje kilka dni, a bot z integracją AI i CRM zajmuje więcej czasu.
• Hosting: wystarczy mały serwer. Bot jest przeważnie bezczynny.
• Usługi stron trzecich: wykorzystanie modelu AI, CRM, dostawca SMS-ów na wypadek awarii. Zależą one od objętości.
• Konserwacja: monitorowanie, aktualizacje i zmiany w Bot API. Mały, ale nie zerowy.

Aby to uzasadnić, oszacuj zaoszczędzony czas: minuty na alert lub zatwierdzenie pomnożone przez liczbę zgłoszeń plus wartość szybszej reakcji. Wiele zespołów widzi zwrot kosztów już w pierwszym miesiącu, ponieważ alternatywą jest ręczne sprawdzanie dashboardów lub utrata powolnych odpowiedzi.

Konfiguracja: od BotFather do działającego webhooka

1. Utwórz bota. W Telegram porozmawiaj z BotFather, utwórz bota i skopiuj token. Token jest hasłem: przechowuj go jako sekret na swoim serwerze, nigdy w kodzie lub w Git.
2. Utwórz czat zespołowy lub grupę, dodaj bota i znajdź identyfikator czatu z pierwszej aktualizacji, którą otrzyma bot.
3. Wybierz tryb. Długie odpytywanie jest najłatwiejsze w rozwoju. Do celów produkcyjnych użyj webhooka: Telegram wywołuje Twój adres URL HTTPS przy każdej aktualizacji.
4. Zarejestruj webhooka za pomocą tajnego tokena, aby móc odrzucić każdą inną osobę, która znajdzie adres URL:

curl -sS "https://api.telegram.org/bot$TG_BOT_TOKEN/setWebhook" \
  -d "url=https://example.com/telegram-webhook.php" \
  -d "secret_token=$TG_WEBHOOK_SECRET" \
  -d 'allowed_updates=["message","callback_query"]' \
  -d "drop_pending_updates=true"

Mała, bezpieczna implementacja PHP

Najpierw pomocnik wywołujący API z limitem czasu i ponowną próbą, gdy Telegram powie „zwolnij” (HTTP 429):

<?php
function tg(string $method, array $params, int $tries = 3): array {
    $url = 'https://api.telegram.org/bot' . getenv('TG_BOT_TOKEN') . '/' . $method;
    for ($i = 1; $i <= $tries; $i++) {
        $ch = curl_init($url);
        curl_setopt_array($ch, [
            CURLOPT_POST           => true,
            CURLOPT_POSTFIELDS     => json_encode($params),
            CURLOPT_HTTPHEADER     => ['Content-Type: application/json'],
            CURLOPT_RETURNTRANSFER => true,
            CURLOPT_TIMEOUT        => 10,
        ]);
        $raw  = curl_exec($ch);
        $code = curl_getinfo($ch, CURLINFO_RESPONSE_CODE);
        curl_close($ch);
        $res = is_string($raw) ? (json_decode($raw, true) ?: []) : [];
        if ($code === 429) { sleep((int)($res['parameters']['retry_after'] ?? 1)); continue; }
        if ($code >= 500 || $raw === false) { sleep($i); continue; }
        return $res;
    }
    return ['ok' => false];
}

Następnie alert z przyciskami zatwierdzającymi, np. gdy zażądany zostanie zwrot powyżej Twojego limitu:

tg('sendMessage', [
    'chat_id'    => getenv('TG_OPS_CHAT_ID'),
    'parse_mode' => 'HTML',
    'text'       => 'Refund request <b>#' . $refundId . '</b>: $' . number_format($amount, 2) . "\nCustomer: " . htmlspecialchars($customerName),
    'reply_markup' => ['inline_keyboard' => [[
        ['text' => 'Approve', 'callback_data' => 'refund:ok:' . $refundId],
        ['text' => 'Reject',  'callback_data' => 'refund:no:' . $refundId],
    ]]],
]);

A odbiornik webhooka, który weryfikuje sekret, ignoruje nieznane czaty, unika dwukrotnego przetwarzania tej samej aktualizacji i szybko odpowiada:

<?php
// telegram-webhook.php
if (!hash_equals((string)getenv('TG_WEBHOOK_SECRET'), $_SERVER['HTTP_X_TELEGRAM_BOT_API_SECRET_TOKEN'] ?? '')) {
    http_response_code(403); exit;
}

$update = json_decode(file_get_contents('php://input'), true);
if (!is_array($update) || !isset($update['update_id'])) { http_response_code(400); exit; }

// idempotency: Telegram may re-deliver an update
if (!claim_update((int)$update['update_id'])) { http_response_code(200); exit; }   // e.g. INSERT IGNORE into a table

$chatId  = $update['message']['chat']['id'] ?? $update['callback_query']['message']['chat']['id'] ?? null;
$allowed = array_map('intval', explode(',', (string)getenv('TG_ALLOWED_CHATS')));
if (!in_array((int)$chatId, $allowed, true)) { http_response_code(200); exit; }     // ignore strangers

if (isset($update['callback_query'])) {
    [$what, $decision, $id] = explode(':', $update['callback_query']['data']) + [null, null, null];
    if ($what === 'refund' && ctype_digit((string)$id)) {
        handle_refund_decision((int)$id, $decision === 'ok', $update['callback_query']['from']['id']);
        tg('answerCallbackQuery', ['callback_query_id' => $update['callback_query']['id'], 'text' => 'Recorded']);
    }
}
http_response_code(200);

Zwróć uwagę na zasady: uwierzytelnij nadawcę, autoryzuj czat, zweryfikuj ładunek i uczyń procedurę obsługi idempotentną. Te same zasady dotyczą webhooków płatności. Sprawdź także, kto nacisnął przycisk, ponieważ każdy w grupie może go kliknąć, chyba że określisz, kto może zatwierdzić.

Zasady bezpieczeństwa i zgodności

• Zachowaj tajemnicę tokena i obróć go przez BotFather, jeśli kiedykolwiek wycieknie.
• Nie wysyłaj na czacie wrażliwych danych: haseł, kluczy API, numerów kart czy danych zdrowotnych. Zwykłe czaty z botami nie są szyfrowane od początku do końca, jak się powszechnie uważa, dlatego traktuj je jak e-maile.
• Ogranicz przez czat i użytkownika. Zgody powinny być akceptowane wyłącznie od wskazanych osób.
• Uzyskaj zgodę na wysyłanie wiadomości do klientów i daj łatwy sposób na zaprzestanie. Przestrzegaj zasad prywatności mających zastosowanie do Twoich klientów, takich jak GDPR dla użytkowników w Europie, i opisz bota w swojej polityce prywatności.
• Rejestruj działania: kto co zatwierdził i kiedy.
• Przejrzyj elementy sterujące na naszej liście kontrolnej bezpieczeństwa PHP, ponieważ bot jest jeszcze jednym punktem wejścia do Twoich systemów.

Niezawodność: limity szybkości i ponowne próby

Telegram ogranicza szybkość wysyłania bota: mniej więcej jedna wiadomość na sekundę w przypadku pojedynczego czatu, niższa szybkość w grupach i łącznie około trzydziestu wiadomości na sekundę w przypadku transmisji. W przypadku czegokolwiek większego niż czat zespołowy, umieszczaj wiadomości w kolejce i wysyłaj je z kontrolowaną szybkością. Zawsze obsługuj odpowiedź 429 i jej wartość retry_after, odpowiadaj na webhooki w ciągu sekundy lub dwóch i wykonuj powolną pracę w tle oraz monitoruj błędy dostarczania, aby zauważyć uszkodzony bot, tak jak w przypadku każdej innej usługi.

Rozsądny plan wdrożenia

1. Tydzień 1: ostrzegaj bota o płatnościach i błędach na czacie wewnętrznym.
2. Tydzień 2: dodaj powiadomienia o potencjalnych klientach i codzienne podsumowanie.
3. Tydzień 3-4: dodaj zatwierdzenia za pomocą przycisków i dziennika audytu.
4. Później: wsparcie skierowane do klienta lub odpowiedzi AI, gdy Twoi odbiorcy korzystają Telegram, mierzone na podstawie czasu odpowiedzi i liczby zgłoszeń.

Jak możemy pomóc

Projektujemy i budujemy automatyzację Telegram, czatu internetowego i przesyłania wiadomości dla firm, wraz z leżącymi za nimi integracjami: płatności, CRM, e-mail i sztuczna inteligencja. Przeczytaj o naszej usłudze integracji lub umów się na krótką rozmowę i powiedz nam, który proces chcesz zautomatyzować w pierwszej kolejności.