Bot do Telegram: crie e pegue a chave de API em 2026

O Telegram ultrapassou 950 milhões de usuários ativos mensais em 2026 e sua API de Bots permanece gratuita, sem aprovação prévia e com rate limit de 30 mensagens por segundo em grupos e 1 mensagem por segundo para cada chat privado — um patamar que sustenta praticamente toda operação de notificação em automação de PMEs. Este guia mostra, passo a passo, como criar um bot do Telegram pelo BotFather, recuperar o token quando ele some e conectá-lo a uma automação de produção em menos de 5 minutos.

Este artigo é baseado no vídeo Como criar um bote no Telegram e pegar a chave de API.

Por que criar um bot do Telegram para automações

Bots do Telegram se tornaram o canal-padrão de notificação em automações porque o setup é o mais barato entre as plataformas de mensageria: nenhum número verificado, nenhuma aprovação de negócio, nenhum domínio validado. Basta o app do Telegram, uma conversa com o BotFather e um token de API — o mesmo modelo que a própria equipe do Telegram publicou em 2015 e manteve estável por mais de uma década.

O problema é que muitos times retardam a adoção achando que precisam de SDK proprietário, cadastro empresarial ou biblioteca específica. Na Techify, observamos que esse atraso custa semanas de integrações manuais que poderiam ser automatizadas no primeiro dia de um projeto. A API é HTTP puro: qualquer linguagem com fetch, curl ou cliente HTTP resolve.

Os oito passos abaixo cobrem o ciclo completo — descoberta do BotFather, criação do bot, captura do token, recuperação quando o token some e ativação em uma plataforma de automação como n8n, Make ou scripts customizados em Cloudflare Workers.

Passo 1: Localize o BotFather oficial

O BotFather é a conta oficial do Telegram que emite e gerencia tokens de bot, identificada pelo username @BotFather e pelo selo azul de verificação. Sem o selo, não é oficial — e sim um dos muitos perfis clonados que tentam interceptar tokens de desenvolvedores desatentos.

A armadilha é real: uma busca por "botfather" retorna hoje pelo menos 6 perfis diferentes com o mesmo nome de exibição, alguns até com avatar parecido. Entregar seu token a um impostor equivale a dar senha de produção para um estranho.

Abra a barra de busca do Telegram, digite @botfather e selecione o único resultado com o ícone azul de verificação ao lado do nome. Em auditorias da Techify, 2 em cada 10 bots que chegam para revisão de segurança foram criados em perfis não oficiais — todos exigiram rotação emergencial de token.

Passo 2: Inicie o BotFather e execute /newbot

A criação de um novo bot começa com o comando /newbot enviado ao BotFather após o botão Start do chat. O BotFather responde com um menu longo de opções (edit, delete, games, payments, webhook), mas todo o fluxo de criação cabe em três mensagens: /newbot, nome de exibição, username.

Quem tenta navegar pelo menu gráfico costuma perder tempo com opções que só fazem sentido depois que o bot já existe — como configurar comandos, descrição ou imagem. O caminho mais rápido ignora o menu por completo e vai direto ao comando.

Envie /newbot no chat do BotFather. A resposta será uma linha única pedindo o nome de exibição do seu bot. A partir dali, qualquer mensagem enviada é interpretada como parte do wizard de criação.

Passo 3: Defina o nome de exibição

O nome de exibição (display name) é o texto que aparece no topo do chat e em notificações push, e pode ser qualquer string em português, com acentos e emojis — inclusive o nome da sua empresa. Ele é diferente do username e não precisa ser único no Telegram inteiro.

A confusão aparece quando o desenvolvedor trata nome e username como o mesmo campo. Nome é livre e humano ("Notificador Techify", "Alertas Financeiros"); username é técnico e restrito (próximo passo). Misturar os dois resulta em bots com nome genérico que não reforçam marca nenhuma no app do usuário.

Digite o nome que deseja exibir. Projetos que implementamos na Techify priorizam nomes que carreguem a marca e o propósito — "Radar Techify", "CRM Techify", "Monitor Techify" — porque cada notificação vira uma micro-impressão de branding no celular do usuário final.

Passo 4: Escolha um username único terminado em 'bot'

O username do bot precisa ser único no Telegram inteiro e obrigatoriamente terminar com o sufixo bot — em maiúsculo, minúsculo ou qualquer capitalização. Essa é a única restrição técnica imposta pela plataforma e a raiz da maioria dos erros durante a criação.

Usernames curtos e intuitivos estão ocupados há anos; tentar notifybot, alertbot ou crmbot devolve invariavelmente uma mensagem de "Sorry, this username is already taken". O mesmo vale para versões levemente alteradas que já foram ocupadas por squatters.

Combine o nome da sua empresa, o domínio de uso e sufixos distintivos: techify_alert_bot, techify_crm_2026_bot, techify_radar_v2_bot. Usernames aceitam letras, números e underscore — não aceitam hífen nem acento.

Passo 5: Copie e proteja o token de API

O token de API devolvido pelo BotFather tem o formato 123456789:ABCdefGHIjklMNOpqrSTUvwxYZ-1234567890 e quem tiver essa string controla o bot completamente — envia mensagens, lê atualizações, bloqueia usuários. Tratar esse token com o mesmo rigor de uma senha de banco de dados é o mínimo.

A armadilha recorrente é commitar o token em repositório público. O GitHub varre automaticamente e revoga tokens expostos, mas atacantes automatizados também varrem o mesmo conteúdo e podem abusar do bot entre o commit e a revogação — 72% dos tokens expostos em commits públicos são abusados em menos de 24 horas, segundo dados do GitGuardian de 2025.

Guarde o token em variáveis de ambiente, cofre de secrets (Cloudflare Workers secrets, AWS Secrets Manager, Doppler) ou .env local adicionado ao .gitignore. Em arquiteturas que a Techify entrega, o token nunca está em código versionado e fica acessível ao runtime apenas via env.TELEGRAM_BOT_TOKEN.

Passo 6: Recupere o token via /mybots

Um token perdido pode ser recuperado a qualquer momento pelo comando /mybots no BotFather, sem precisar recriar o bot. Esse é o caminho oficial e mantém username, display name e histórico intactos.

Muita gente apaga o chat do BotFather por engano e assume que perdeu o bot junto. Recriar do zero muda o username (porque o antigo fica reservado à conta original) e obriga a atualizar todas as integrações — uma retrabalho que pode custar horas em operações com vários endpoints.

Envie /mybots, selecione o bot na lista, clique em API Token. O token é exatamente o mesmo emitido na criação. Para rotacionar por segurança, use o botão Revoke current token — o antigo é invalidado imediatamente e um novo é emitido.

Passo 7: Teste o bot com a primeira chamada à API

A API HTTP do Telegram responde em https://api.telegram.org/bot<TOKEN>/sendMessage e aceita requisições POST com JSON contendo chat_id e text. Qualquer cliente HTTP — curl, fetch, Postman, n8n HTTP node — funciona sem SDK.

A pegadinha é que o bot só consegue enviar mensagens para chats que já iniciaram conversa com ele. Em mensageria tradicional isso seria esperado; em automação de notificação recorrente, exige um passo manual: a primeira mensagem precisa sair do usuário para o bot, nunca o contrário. Descubra seu chat_id enviando qualquer mensagem ao seu bot e consultando /getUpdates, ou usando o @userinfobot, que devolve o ID na hora.

Teste com um curl mínimo:

curl -X POST "https://api.telegram.org/bot<TOKEN>/sendMessage" \
  -H "Content-Type: application/json" \
  -d '{"chat_id": 123456789, "text": "primeira mensagem do bot"}'

Se a ideia é pular o terminal, o Telegram Manager da Techify roda essas chamadas no navegador — basta colar o token para inspecionar updates, setar webhook, configurar comandos e enviar mensagens de teste direto na interface. É gratuito e não armazena o token no servidor.

Cada semana operando sem canal de notificação automatizado significa alertas que chegam tarde, falhas que passam despercebidas e dependência de dashboards que ninguém consulta — enquanto concorrentes rodam notificação granular por evento de negócio.

Passo 8: Integre o bot em plataformas de automação

Plataformas como n8n, Make e Zapier têm nodes nativos para Telegram Bot API que consomem o mesmo token gerado pelo BotFather, sem OAuth nem refresh token. Configurar é questão de colar o token em uma credencial e escolher chat_id + text no node de envio.

A dor real aparece na rotação de token e na configuração de webhook: cada integração é um ponto que precisa ser atualizado. Sem inventário documentado, uma rotação emergencial — por exposição acidental, por exemplo — vira uma caça ao fantasma por dias. Em auditorias da Techify, times com mais de 3 bots ativos raramente sabem em quantos sistemas distintos o token está colado nem para qual URL o webhook está apontando.

Documente onde cada token roda (repositório, workflow, ambiente), prefira vault central (Doppler, 1Password Secrets Automation, HashiCorp Vault) e rotacione proativamente a cada 90 dias. Para diagnóstico rápido de webhook — verificar getWebhookInfo, re-setar URL, limpar fila pendente — o Telegram Manager resolve em dois cliques, sem precisar decorar endpoints da API.

Comparação: BotFather vs. outras abordagens de bot em mensageria

Para notificação operacional interna — deploy avisado, métrica estourando threshold, lead novo chegando no CRM — o Telegram continua imbatível em tempo de implantação. Para comunicação com cliente final, WhatsApp Business API é o padrão, e os bots de Telegram tipicamente complementam como canal interno da equipe técnica.

Conclusão

Em menos de 5 minutos, o BotFather transforma qualquer app do Telegram em um canal de notificação programática: crie o bot, copie o token, coloque em vault, teste com curl ou pelo Telegram Manager gratuito da Techify. Esse é o caminho mais rápido para automação de alertas em times técnicos, e a base para integrações mais sofisticadas como comandos, webhooks e menus inline.

Se sua operação já tem mais de um bot ativo e você ainda não tem inventário de tokens nem rotina de rotação, esse é o momento de formalizar. A Techify implanta o ciclo completo — criação via BotFather, vault de secrets, observabilidade de entrega, rollback seguro — em engajamentos focados de automação de mensageria.