Telegram bot token: como pegar o token do bot, verificar e revogar

Atualizado em: 29 de outubro de 2026 · 6 min de leitura

O token do bot do Telegram — o telegram bot token — é a chave que autentica o seu bot na Bot API. Para pegar o token, abra o @BotFather: num bot novo ele vem na resposta do /newbot; num bot que já existe, use /mybots → seu bot → API Token. Abaixo você vê o formato, como testar com getMe, como revogar e como guardar o token com segurança.

O que é o token e qual o formato

O token é uma string como 123456789:AAEexampleTokenReplaceWithYours: antes dos dois-pontos vem o ID numérico do bot; depois, a parte secreta. Ele autentica o bot (não a sua conta pessoal) e entra em toda requisição, logo após o prefixo bot:

https://api.telegram.org/bot123456789:AAEexampleTokenReplaceWithYours/getMe

Quem tem o token controla o bot por completo: lê os updates que chegam, envia mensagens em nome dele e troca o webhook. Trate-o como uma senha.

Como pegar o token de um bot novo

1. Abra o @BotFather e envie /newbot.
2. Escolha o nome de exibição e o username (5 a 32 caracteres, letras latinas, números e underline, terminando em bot).
3. Copie o token que aparece depois de Use this token to access the HTTP API.

O passo a passo completo, com teste e primeira mensagem, está no guia como criar um bot no Telegram.

Como encontrar o token de um bot que já existe

1. No @BotFather, envie /mybots.
2. Toque no bot desejado.
3. Toque em API Token: o BotFather mostra o token atual, sem alterá-lo.

Só a conta dona do bot vê o token. Se o bot não aparece na lista, ele pertence a outra conta do Telegram — peça o token ao dono ou a transferência do bot (/mybots → bot → Transfer ownership).

Como testar o token com getMe

curl "https://api.telegram.org/bot123456789:AAEexampleTokenReplaceWithYours/getMe"

Um token válido devolve "ok": true e o objeto User do bot, com id, first_name e username. Um token inválido devolve:

{"ok": false, "error_code": 401, "description": "Unauthorized"}

Causas comuns do 401 Unauthorized:

• espaço, aspas ou quebra de linha copiados junto com o token;
• token revogado — só o mais recente vale;
• token de outro bot (acontece muito quando você tem vários);
• bot apagado com /deletebot.

Se a resposta for 404 Not Found, o erro está na URL: quase sempre falta o prefixo bot. Quer testar sem terminal? Use o Bot API Tester com getMe: o token fica só no localStorage do seu navegador e a requisição vai direto para api.telegram.org.

Token vazou? Revogue e gere outro

Se o token apareceu num repositório público, num print ou numa conversa, revogue na hora:

1. No @BotFather, envie /revoke e escolha o bot — ou vá em /mybots → bot → API Token → Revoke.
2. Copie o novo token. O antigo deixa de funcionar imediatamente e passa a receber 401.
3. Atualize o token no servidor, nas variáveis de ambiente e em todas as integrações.
4. Chame getWebhookInfo: se o campo url mostrar um endereço que não é seu, alguém usou o token. Configure o seu webhook de novo ou chame deleteWebhook.

Apagar o commit não resolve: o token continua no histórico do Git e em clones. Revogar é o único jeito seguro.

Como guardar o token com segurança

• Use variável de ambiente ou um arquivo .env listado no .gitignore.
• Nunca coloque o token em código que roda no cliente: JavaScript do navegador, app mobile ou Mini App. Quem abre o código vê o token.
• Não cole o token em issues, fóruns, prints ou chats de suporte.
• Use bots separados para produção e testes.

import os

TOKEN = os.environ["TELEGRAM_BOT_TOKEN"]  # nunca escreva o token no código

const token = process.env.TELEGRAM_BOT_TOKEN;
if (!token) throw new Error("Defina TELEGRAM_BOT_TOKEN");

Token e chat id em automações e assistentes de IA

Ferramentas de automação como o n8n e assistentes de IA que se conectam ao Telegram (o OpenClaw, por exemplo) costumam pedir duas coisas: o token do bot, que diz qual bot usar, e o chat id, que diz para onde enviar. Para descobrir o segundo, veja como pegar o chat id no Telegram.

Duas dicas que evitam dor de cabeça:

• Um bot por integração. Se um token vazar, você revoga só ele, sem derrubar os outros serviços.
• Um consumidor de updates por token. Um bot tem um único webhook, e o getUpdates retorna 409 Conflict enquanto houver webhook ativo. Se o n8n registrar um webhook e um script seu fizer polling com o mesmo token, um dos dois vai falhar.

Com o token validado, o próximo passo é enviar mensagens pela API do Telegram.