Desbloqueie o Telegram e entre sem precisar de outro aparelho

O Telegram tem 2 clientes web diferentes no mesmo endereço: o Web K, o cliente original, e o Web A, um código mais novo e separado. Nem o Web K nem o Web A fala com o Telegram diretamente: o seu navegador acessa o endereço do próprio TrickyBird, que busca a página, reescreve o HTML, o CSS e o JavaScript dela para que cada link e script passe por esse mesmo endereço, e transmite o resultado para a sua aba. Um script instalado ali faz com que tudo o que qualquer um dos clientes carregar depois também passe pelo endereço do TrickyBird, em vez de ir direto para o Telegram.

A parte que costuma falhar primeiro em um mensageiro é a conexão ao vivo, e aqui ela se sustenta. Ambos os clientes falam o próprio protocolo do Telegram, o MTProto, por um WebSocket que fica aberto enquanto a aba estiver aberta, e o TrickyBird leva essa conexão do mesmo jeito que leva a página. É por isso que um chat se atualiza sozinho, sem precisar recarregar; o socket que carrega isso nunca saiu do proxy.

A maioria dos clientes web de mensageiro parte, por padrão, para escanear um código QR com um telefone que já tem uma conta aberta, o que pressupõe que você tenha um segundo aparelho e que o app esteja instalado nele. O Telegram também mantém esse caminho (o código QR é o que você vê primeiro por padrão, tanto no Web K quanto no Web A), mas bem ao lado, e não escondido num menu de configurações, está “Entrar com número de telefone”. Clique nele, e um formulário de código de país e número se abre, o mesmo que o Telegram mostra numa visita direta.

Uma conta que não está conectada em nenhum outro lugar termina esse caminho com um código enviado por SMS para o número digitado, e não escaneando outra tela. Nenhum segundo aparelho entra nisso. Vimos o formulário aceitar um código de país e um número, tanto no Web K quanto no Web A. Não chegamos a receber um código num número real, porque essa etapa precisa de uma conta real do Telegram e de um telefone real, e não temos nem uma coisa nem outra no ambiente de onde testamos. Considere que o formulário abre e funciona pelo proxy, e que a entrega do SMS é do próprio Telegram, seja pelo TrickyBird, seja direto.

Filtros de rede costumam pegar mensageiros como categoria, junto com apps de chat e redes sociais, em vez de mirar no Telegram especificamente. No nível de país, o registro é mais específico: o Telegram está bloqueado no Irã, no Paquistão e na China continental desde julho de 2015, e ficou bloqueado nacionalmente na Rússia de abril de 2018 até esse bloqueio ser suspenso em junho de 2020.

Aqui está o limite que conseguimos traçar hoje: os 2 clientes carregam, o formulário de número de telefone aceita o número digitado em cada um, e o WebSocket que carrega o próprio protocolo do Telegram passa pelo proxy em ambos. Paramos na porta de uma conta real, porque, para terminar o login, é preciso um número de telefone real, que esta configuração não tem. Além dessa porta não afirmamos nada: chats, contatos e entrega de mensagens são a própria experiência do Telegram depois que você entra, sem serem afetados por nada que o TrickyBird mude na página antes disso.

O tempo todo, na tela de login e depois dela, o seu navegador usa um dos nossos próprios endereços, com o do Telegram codificado dentro dele e não escrito por extenso, porque é o TrickyBird quem se conecta ao Telegram em seu nome. Para manter o serviço funcionando e conter abusos, o TrickyBird guarda uma versão encurtada do seu endereço IP e o hostname de destino, por no máximo 48 horas, sem nenhuma conta própria à qual associar isso.