Telegram riegelt Mini Apps am 20. Juli ab. Prüfen Sie Ihre App, bevor sie ausfällt.

Am 14. Juli hat Telegram Bot API 10.2 ausgeliefert. Der Großteil des Changelogs ist das übliche angenehme Zeug: Rich Messages haben besseres Media-Handling bekommen, Bots sehen jetzt, wenn sich das bezahlte Abo eines Nutzers ändert. Und dann, ganz unten unter 'General', ein Punkt mit echtem Biss für alle, die eine Mini App betreiben: Ab dem 20. Juli funktionieren Mini-App-Methoden nur noch von der eigenen Domain der Mini App aus. Der Schutz schaltet sich automatisch ein, für jede Mini App, ob Sie den Changelog gelesen haben oder nicht. Das sind sechs Tage Vorlauf.

Eine kurze Übersetzung für alle, die nicht in diesem Stack leben. Eine Mini App ist eine Web-App, die innerhalb von Telegram läuft und mit Telegram über eine schmale Message-Bridge spricht: Rechnung öffnen, Kontakt des Nutzers anfordern, Biometrie abfragen, App schließen. Diese Aufrufe sind die 'Mini-App-Methoden'. Bis jetzt konnte jede Seite, die den Weg in den webview Ihrer App fand, sie nutzen. Nach dem 20. Juli können das nur noch Seiten, die von der bei BotFather registrierten Domain ausgeliefert werden.

Wenn Ihre Mini App eine Codebasis auf einer Domain ist, können Sie hier aufhören zu lesen und zurück an die Arbeit gehen. Wenn irgendwo in Ihrer App Geld oder Logins über eine zweite Domain laufen, haben Sie bis Montag Zeit.

Warum Telegram diesen Hebel umlegt

Das Loch, das hier geschlossen wird, ist real. Wenn Ihre Mini App auf eine Seite auf einer anderen Domain verlinkte oder sie einbettete, erbte diese Seite die Bridge. Eine kompromittierte Partnerseite oder ein gekapertes Skript konnte dieselben Methoden abfeuern wie Ihr eigener Code, mit der Identität Ihrer App und der Session Ihres Nutzers dahinter.

Das ist bereits passiert. 2024 konnte ein präparierter Open-Link-Aufruf über die Bridge Telegram-Web-Sessions kapern (CVE-2024-33905, im Web-Client gepatcht). Die Plattform bewegt inzwischen echtes Geld über Rechnungen, Stars und Abos, also war eine offene Bridge kein akzeptabler Standard mehr.

Es gibt ein Opt-out, und es kommt mit einem Satz, den man zweimal lesen sollte. Sie können den Schutz über die BotFather Mini App deaktivieren, aber damit 'bestätigen Sie, dass es in der Verantwortung des Bots liegt sicherzustellen, dass die Mini App keine Links zu nicht vertrauenswürdigen Seiten enthält.' Das ist eine Haftungsübertragung im Gewand eines Schalters. Nutzen Sie es als Notventil, während Sie Ihre Architektur reparieren, nicht als Dauereinstellung.

Wessen App am Montag kaputtgeht

Die Ausfälle werden sich in Flows ballen, die über Domaingrenzen laufen:

• Gehostete Zahlungsseiten. Der Nutzer zahlt auf der Domain Ihres Anbieters, und diese Seite ruft eine Methode auf, um den webview zu schließen oder Erfolg zu signalisieren. Ab dem 20. Juli wird dieser Aufruf ignoriert, und Ihr Nutzer strandet auf einer Belegseite und fragt sich, ob überhaupt etwas passiert ist.
• Login über Drittanbieter. OAuth-Flows, die auf der Domain des Anbieters enden und dann zur Bridge greifen, um die Kontrolle an die App zurückzugeben.
• Produkte mit mehreren Domains. Eine Marketing-Domain und eine App-Domain, oder Domains pro Region, bei denen die sekundäre noch das SDK aufruft.
• Widgets und White-Label-Setups. Alles mit SDK-Geschmack, das vom CDN eines Anbieters statt von Ihrem eigenen Origin ausgeliefert wird.
• Preview- und Staging-Builds. Deploy-Previews auf plattformgenerierten URLs sind ebenfalls eigene Origins. Ihre Produktions-App kann in Ordnung sein, während QA still den Dienst einstellt, oder umgekehrt.

Der Fehlermodus ist die fiese Sorte: still. Nichts wirft einen Fehler, nichts stürzt ab. Der Aufruf passiert einfach nicht. Ein Checkout, der ein Jahr lang funktioniert hat, endet an einem Button, der nichts tut, und Sie erfahren es über Ihren Support-Posteingang.

Das Audit, an einem Nachmittag

1. Listen Sie jeden Origin auf, der die Bridge berührt. Greppen Sie die Codebasis nach dem SDK-Import und nach direkten postMessage-Aufrufen, gehen Sie dann jeden User-Flow durch und notieren Sie jede Domain, die er durchläuft.
2. Schauen Sie am genauesten auf Zahlungen und Auth. Jeder Schritt, bei dem der Nutzer Ihre Domain verlässt und bei der Rückkehr etwas passieren soll, ist ein Kandidat.
3. Holen Sie die Aufrufe nach Hause. Der saubere Fix ist eine schlanke Rücksprungseite auf Ihrer registrierten Domain: Die Drittanbieterseite leitet dorthin weiter, und diese Seite macht den Bridge-Aufruf. Die meisten Teams schaffen das an einem Tag.
4. Testen Sie in echten Clients. iOS-, Android- und Desktop-webviews verhalten sich nicht identisch, und dies ist nicht die Woche, um den Docs mehr zu vertrauen als dem Gerät.
5. Wenn Sie Montag nicht schaffen: Opt-out, reparieren, wieder einschalten. Den Schutz dauerhaft auszuschalten heißt, für jede Seite geradezustehen, die Ihre App je erreichen kann.

Das größere Signal

Zoomen Sie heraus, und dies ist die dritte Plattform in diesem Jahr, die die Regeln für Entwickler mitten im Flug verschärft. Apple hat begonnen, KI-generierte Apps zu entfernen, die an seiner Qualitätslatte scheitern. Shopify hat Scripts am 30. Juni abgeschaltet und damit die Checkout-Logik von Shops kaputtgemacht, die nicht migriert hatten. Jetzt Telegram, mit dem kürzesten Vorlauf der drei.

Nichts davon sind feindselige Züge. Es ist das, was Plattformen tun, sobald echtes Geld und echte Nutzer ankommen: Die Defaults härten aus, die Schonfristen schrumpfen. Mini Apps haben diese Linie vor einer Weile überschritten. Eine halbe Milliarde Menschen hat eine benutzt, Zahlungen sind nativ, und Bot-API-Releases landen inzwischen monatlich. Rich Messages im Juni, Abo-Events und diese Abriegelung im Juli.

Die Lektion für alle, die auf gemietetem Land bauen, ist nicht, dort nicht mehr zu bauen. Die Reichweite ist der Grund, warum Sie gekommen sind. Die Lektion ist architektonisch: Halten Sie Ihre App auf einem Origin, halten Sie fremde Seiten von der Bridge fern, und behandeln Sie jede externe Domain in einem User-Flow als Abhängigkeit, die mit einem Changelog-Punkt widerrufen werden kann. Teams, die so bauen, lesen Ankündigungen wie diese beim Kaffee, nicht im War Room.

Telegrams Mini-App-Wette ist immer noch eine der besseren Asymmetrien in Consumer-Software: eine Milliarde Nutzer, kein App-Store-Review, Baukosten, die sich die meisten Gründer leisten können. Die Plattform hat gerade aufgehört, Sicherheit locker zu nehmen, und es wird nicht die letzte Verschärfung sein. Wenn Ihre App Domaingrenzen überquert, haben Sie das Wochenende.