BotFather: создаем бота и получаем токен

Откройте чат с BotFather и отправьте /newbot. Дальше два вопроса. Первый: name — отображаемое имя, которое видно в списке чатов; здесь любой язык, пробелы и эмодзи, например Гомастер Помощник. Второй: username — уникальный адрес бота в t.me, и вот тут правила жёсткие: только латиница, цифры и подчёркивания, от 5 до 32 символов, и обязательно суффикс bot на конце — без учёта регистра. MyHelper_bot пройдёт, MyHelper — нет, а GoMaster_bot окажется занят в эту же секунду кем-то на другом конце планеты. Username не меняется после создания: он становится частью ссылки t.me/MyHelper_bot и остаётся с ботом навсегда, поэтому выбирайте так, чтобы не пришлось краснеть перед работодателем. Если имя занято, BotFather сухо предложит подумать ещё. В конце он пришлёт сообщение с токеном — длинную строку, похожую на официальный пример из документации: 110201543:AAHdqTcvCH1vGWJxfSeofSAs0K5PALDsaw. Это самое ценное сообщение в жизни вашего бота.

Токен телеграм бота — две части через двоеточие. До двоеточия — числовой ID бота: он назначен навсегда и совпадает с полем id в ответах API. После — секретная строка примерно из 35 символов латиницы, цифр, дефисов и подчёркиваний: это и есть пароль. Проверить токен, не написав ни строчки кода, можно прямо в браузере: откройте адрес api.telegram.org/botВАШ_ТОКЕН/getMe — Telegram ответит JSON с именем бота, если токен живой, и описанием ошибки Unauthorized, если нет. Тот же запрос библиотека делает при каждом запуске через NewBotAPI, поэтому битый токен вы обнаружите на старте, а не при первом сообщении. У токена нет срока действия: он работает, пока вы его не отзовёте командой /revoke. Отзыв мгновенный и необратимый — старая строка умирает в ту же секунду, новая приходит следующим сообщением от BotFather.

Хардкод в main.go ломается на первом git add. История коммитов вечна: удалите строку из файла — она останется в прошлых коммитах, а если репозиторий успел стать публичным, токен уже считан ботами-сканерами. Рабочие варианты по возрастанию сложности. Локально: переменная окружения — export BOT_TOKEN=110201543:AAH... перед go run, или файл .env, добавленный в .gitignore и читаемый на старте. В команде: тот же .env в менеджере секретов или закрытом канале, но не в общем чате проекта. На VPS: секция Environment в unit-файле systemd или отдельный файл через EnvironmentFile. Логика везде одна: код знает только имя переменной, значение живёт на машине запуска. Проверить себя просто: git status не должен показывать .env в списке файлов, а поиск по репозиторию на первые цифры токена должен возвращать пустоту — двухминутная привычка, которая однажды спасёт продакшен. Если храните конфиги библиотекой вроде viper, у неё есть и переменные окружения, и файлы — связка командной строки, файлов и секретов разобрана в курсе про Cobra, и тамошние принципы переносятся на ботов один в один.

Классический инцидент второй недели: разработчик поднял локальную копию бота для отладки, не убрав продакшен-токен из .env, и оба процесса начали жить одной жизнью — точнее, половиной. Long polling отдаёт каждое обновление только одному получателю: сообщения распределялись между локальным отладчиком и продом в случайном порядке, пользователи получали ответы через раз, а отладчик видел чужие данные реальных людей. Диагноз ставится за минуту: getMe отвечает одинаково — значит, токен один. Лечение: /revoke и развод по окружениям — у staging свой бот с username вроде MyHelper_dev_bot и своим .env. Правило короткое: один токен — один процесс, и стажинговый секрет никогда не копируется в прод, даже «на пять минут посмотреть».

Свежий бот выглядит голым: без описания и аватара, с пустым профилем. BotFather закрывает и это. /setdescription — текст, который пользователь видит в пустом чате до нажатия Start: одна-две строки о том, что бот делает и с чего начать, — фактически ваш лендинг в двух предложениях. /setabouttext — фраза в профиле бота. /setuserpic — аватар. /setcommands — список команд, который Telegram показывает в меню слева от поля ввода: каждая строка вида command — описание; описание помогает человеку понять бота без чтения документации, а сами команды в коде обработаем в седьмом уроке. Центр управления — /mybots: список ваших ботов и меню настроек каждого, включая API Token, где живут кнопка Revoke и настройки платежей. Вернитесь в /mybots всякий раз, когда забудете, где что меняется: это панель администратора, притворяющаяся чатом.