شاید کسی به شما گفته باشد پروکسی تلگرام را از گیت‌هاب بگیرید، یا خودتان به چنین توصیه‌ای برخورده باشید. گیت‌هاب را باز می‌کنید و با هزاران ستاره، نسخه‌هایی با فایل‌های .exe و .apk و مخزن‌هایی روبه‌رو می‌شوید که تقریباً همه‌شان نوشته‌اند همه چیز کار می‌کند، آزمایش شده و هر ساعت به‌روز می‌شود. آن وقت معلوم نیست به کدام‌یک می‌شود اعتماد کرد و آیا در این میان ویروسی هم نصیب‌تان نمی‌شود.
همین اول بگویم که ما خودمان پروکسی شخصی می‌فروشیم، پس من در این موضوع بی‌طرف نیستم و خوب است این را در نظر داشته باشید. علاوه بر این، کد ما بسته است و در گیت‌هاب نیست، بنابراین نمی‌توانید ما را با روش‌هایی که در ادامه می‌گویم بررسی کنید. دربارهٔ خودمان در آخر صحبت می‌کنم.
در گیت‌هاب با جست‌وجوی پروکسی چه پیدا می‌کنید
گیت‌هاب از قبل بررسی نمی‌کند که چه چیزی در آن منتشر می‌شود. هر کسی هر چه بخواهد آنجا می‌گذارد: کد، یک فایل متنی، یک برنامهٔ آماده، و سایت هیچ نشانی از کیفیت به آن اضافه نمی‌کند. اگر در گیت‌هاب «telegram proxy» را جست‌وجو کنید، هزاران مخزن پیدا می‌شود و در بیست مخزن اولِ پرستاره، یک برنامهٔ کامپیوتری، نرم‌افزارهای سرور، نصب‌کننده‌های «یک‌کلیکی»، فهرست‌های آدرس و پروژه‌هایی کاملاً بی‌ربط کنار هم دیده می‌شوند.
مخزن رسمی تلگرام در این بیست مورد نیست، هرچند وجود دارد. نامش TelegramMessenger/MTProxy است و خود تلگرام در مستنداتش به آن لینک داده است. اما این یک نرم‌افزار سرور است که آن را روی سرور لینوکسی خودتان نصب می‌کنید تا به دیگران پروکسی بدهید. نه برنامه‌ای برای گوشی در آن هست و نه فهرست آماده‌ای از آدرس‌ها، و کسی که سرور خودش را ندارد چیزی از آنجا برنمی‌دارد. نرم‌افزارهای سرور غیررسمی با هزاران ستاره هم آنجا هست، اما این‌ها کار مدیران سرور است و به موضوع ما ربطی ندارد.
اما احتمالاً شما دنبال نرم‌افزار سرور نبودید. کسانی که چنین جست‌وجویی می‌کنند معمولاً دنبال فهرست آماده‌ای از لینک‌ها یا برنامه‌ای برای دانلود روی کامپیوتر یا گوشی هستند، و گیت‌هاب هر دو را در اختیار می‌گذارد، حتی فایل‌های APK اندروید از حساب‌های شخصی و بدون هیچ مجوز استفاده (لایسنس). دربارهٔ هر کدام جداگانه در ادامه می‌گویم، چون خطرشان فرق می‌کند. اما از کپی‌های خود برنامهٔ تلگرام که کس دیگری در آن‌ها تغییر داده است (فورک، fork) من همان اول دوری می‌کردم. یکی از این کپی‌ها در اکتبر ۲۰۲۶ در نتایج بالای جست‌وجو برای پروکسی آیفون دیده می‌شد. در مقایسه با برنامهٔ رسمی تلگرام برای iOS در ۱۸ اکتبر ۲۰۲۶، این کپی ۱٬۸۲۰ تغییر عقب بود و آخرین بار در آوریل به‌روز شده بود، یعنی هر چه تلگرام از آن زمان منتشر کرده به آن نرسیده است.
یعنی ستاره‌ها هیچ معنایی ندارند؟
احتمالاً ستاره‌های گیت‌هاب را مثل نظر کاربران می‌بینید. اما ستاره خرید و فروش می‌شود. قوانین گیت‌هاب ستاره‌دادن خودکار را صراحتاً ممنوع کرده‌اند، و با این حال پژوهشگران حدود شش میلیون ستارهٔ مشکوک پیدا کرده‌اند که بیشتر ستاره‌های جعلی به مخزن‌های کم‌عمر با فیشینگ و بدافزار رسیده بود. برای همین هزار ستاره روی یک پروژهٔ ناآشنا خیال من را راحت نمی‌کند.
تغییرات تازه (کامیت‌ها) هم وضع مشابهی دارند. عبارت «چند دقیقه پیش به‌روز شد» نشانهٔ یک پروژهٔ زنده به نظر می‌رسد، اما ساختن عمدی آن سخت نیست. پژوهشگران کسپرسکی از کارزاری به نام GitVenom خبر دادند: بیش از دویست مخزن در گیت‌هاب با کد مخرب که خود را پروژهٔ متن‌باز جا می‌زدند، و یک ربات تلگرام هم در میانشان بود. تعداد تغییرات را با فایلی زیاد جلوه می‌دادند که یک برچسب زمانی در آن بود و هر چند دقیقه یک بار به‌روز می‌شد، و بیشترین حملات در روسیه، ترکیه و برزیل ثبت شد. در فهرست‌های پروکسی، تغییرات تازه را رباتی می‌سازد که فایل را دوباره بارگذاری می‌کند، و این هم چیزی دربارهٔ کیفیت آدرس‌ها نمی‌گوید.
نشان «Verified» هم کمکی نمی‌کند. این نشان را سازمانی می‌گیرد که دامنهٔ خودش را تأیید کرده باشد، و دربارهٔ کد چیزی نمی‌گوید. جالب است که سازمان‌های رسمی تلگرام در گیت‌هاب این نشان را ندارند، نه سازمانی که MTProxy را نگه می‌دارد و نه سازمانی که Telegram Desktop را. چیزی که نسخهٔ واقعی را متمایز می‌کند ستاره و نشان نیست، بلکه این است که خود تلگرام به آن لینک می‌دهد. در صفحهٔ برنامه‌های تلگرام مخزن‌های رسمی فهرست شده‌اند و برنامه‌های غیررسمی با کلمهٔ «Unofficial» مشخص شده‌اند. سایت Telegram Desktop به telegramdesktop/tdesktop لینک می‌دهد و مستندات پروکسی به TelegramMessenger/MTProxy. اگر واقعاً به یک مخزن نیاز دارید، آن را از لینک سایت تلگرام یا سایت خود سازنده پیدا کنید، نه از راه جست‌وجو، چون جست‌وجو به‌راحتی شما را به‌جای نسخهٔ اصلی به کپی‌ها می‌رساند.
در فهرست‌های پرطرفدار چه هست
یک فهرست در گیت‌هاب آدرس‌های دیگران را جمع می‌کند و هر چند ساعت یک بار فایل را دوباره بارگذاری می‌کند، اما نمی‌گوید این سرورها مال چه کسی هستند. در واقع همان پروکسی‌های رایگانِ دیگران است، فقط در بسته‌بندی دیگری. تلگرام در راهنمای پروکسی صادقانه نوشته است که صاحب سرور نمی‌تواند پیام‌ها را بخواند، اما می‌تواند IP، زمان اتصال و خود این واقعیت را که فردی از تلگرام استفاده می‌کند جمع‌آوری کند. و توصیه می‌کند پروکسی را فقط از منبع مورد اعتماد بگیرید یا از یک آشنا بخواهید سرور خودش را راه بیندازد.
بعضی چیزها از روی تاریخچهٔ فایل در گیت‌هاب دیده می‌شوند. در یکی از فهرست‌های پرطرفدار که رباتی هر دوازده ساعت به‌روزش می‌کند، در ۱۸ اکتبر ۲۰۲۶ تعداد ۱۴۵ آدرس بود. از ۲۳۴ آدرسی که در ۱۸ سپتامبر در آن بود، تا این روز ۵۹ آدرس، یعنی حدود یک‌چهارم، باقی مانده بود. البته حذف شدن از فهرست هنوز ثابت نمی‌کند که سرور از کار افتاده، چون ممکن است خود اسکریپت آن را حذف کرده باشد. برای این ۱۴۵ آدرس فقط ۲۱ کلید مخفی (secret) متفاوت وجود دارد و یک کلید مخفی یکسان روی ۵۰ آدرس دیده می‌شود. کلید مخفی را کسی تعیین می‌کند که سرور را راه انداخته است، پس به نظر می‌رسد پشت ده‌ها آدرس «متفاوت» یک نفر باشد. مدرکی برای این نیست و فقط یک فرض است.
با کلمهٔ «آزمایش‌شده» هم همه چیز ساده نیست. توضیحات همان فهرست قول می‌دهد که هر خط کار می‌کند و یک اسکریپت آدرس‌ها را پیش از انتشار بررسی می‌کند، اما کدی برای این بررسی در مخزن نیست: آنجا فقط توضیحات به چهار زبان و یک فایل لینک هست. فهرست پرطرفدار دیگری کدش باز است، و خواندن آن نشان می‌دهد که «بررسی» فقط یعنی پورت سرور باز است. اینکه آنجا پروکسی تلگرام هست یا نه و مال چه کسی است، از این راه معلوم نمی‌شود. مرتب‌سازی «بر اساس سرعت» در آن عملاً کار نمی‌کند، چون کد سرعت را بعد از برقراری اتصال اندازه می‌گیرد، و در ۱۸ اکتبر ۲۰۲۶ در فایل نتایج، سرعت هر صد آدرس صفر ثبت شده بود (ping: 0.0).
همین فهرست افتخار می‌کند که آدرس‌ها را از بیش از چهل‌وپنج منبع جمع می‌کند. مقایسهٔ یکی از فایل‌های کشوری آن با فهرست سوم در ۱۸ اکتبر ۲۰۲۶ نشان می‌دهد که ۹۲ آدرس از صد آدرس همان کلید مخفی و همان دامنه‌هایی را دارند که فهرست سوم صراحتاً «سرورهای ما» می‌نامد. پس به نظر می‌رسد این فهرست با وجود ده‌ها منبع، فایل کشوری‌اش تقریباً به‌طور کامل از سرورهای یک صاحب تشکیل شده است. در پایین توضیحات همان فهرست سوم هم حدود دویست لینک به «راهنما» و «آموزش» هست که بیشترشان به صفحه‌هایی یک‌روزه می‌روند. از شش حسابی که به‌طور تصادفی بررسی شدند، چهار حساب دیگر وجود ندارند و دو حساب در ۱۷ سپتامبر با یک دقیقه فاصله ساخته شده‌اند. دقیقاً نمی‌دانم برای چه هستند، شبیه شبکه‌ای از صفحه‌ها برای موتورهای جست‌وجوست.
چرا من برای یک لینک برنامه دانلود نمی‌کردم
برای استفاده از لینک پروکسی لازم نیست چیزی دانلود کنید. همهٔ برنامه‌های تلگرام، چه روی گوشی و چه روی کامپیوتر، خودشان می‌توانند از طریق پروکسی وصل شوند. جزئیات بیشتر در مقاله دربارهٔ پروکسی تلگرام آمده است.
پروکسی فقط ترافیک رمزگذاری‌شدهٔ تلگرام را می‌بیند، اما برنامه‌ای که اجرا می‌کنید روی دستگاه شما و با دسترسی‌های شما کار می‌کند. برای همین به نظر من یک فایل از مخزنی ناآشنا از هر لینکی خطرناک‌تر است. به اسم برنامه‌های محبوب، «دزد اطلاعات» (stealer) پخش می‌کنند، یعنی برنامه‌هایی که رمزهای عبور و اطلاعات پرداخت را می‌دزدند. در مخزن یکی از برنامه‌های کامپیوتری محبوب، کاربری شکایت کرد که آنتی‌ویروس در فایل .exe آن یک دزد اطلاعات پیدا کرده است. سازنده پاسخ داد که فایل از مخزن او دانلود نشده، این یک دزد اطلاعات است که خود را فایل واقعی جا زده، و اگر آن را اجرا کرده‌اند باید رمزهای عبور را عوض کنند و از همهٔ نشست‌ها خارج شوند. همان‌جا نوشته است که این اتفاق قبلاً هم برای کسی افتاده بود که برنامه را از راه یک موتور جست‌وجو پیدا کرده بود. همین برنامه یک سایت بدلی هم دارد که از سایت اصلی معتبرتر به نظر می‌رسد، اما دکمه‌های دانلودش به مخزن دیگری می‌روند که در سپتامبر ساخته شده است.
اگر با این حال پروکسی تلگرام را از گیت‌هاب انتخاب می‌کنید، برای این کار لازم نیست کد بخوانید. مهم‌تر از همه این است که چه کسی مخزن را منتشر کرده و آیا منبع اصلی، یعنی سایت تلگرام یا سایت خود سازنده، به آن لینک می‌دهد. گاهی کدی که وعده داده شده اصلاً آنجا نیست و فقط توضیحات و یک فایل لینک هست، و آن وقت کلمهٔ «آزمایش‌شده» پشتوانه‌ای ندارد. کلید مخفی یکسان روی صد آدرس حتی با چشم هم دیده می‌شود، چون در انتهای هر لینکی به شکل t.me/proxy?server=example.com&port=443&secret=… قرار دارد. کاربران در زبانهٔ Issues شکایت می‌کنند، و ماجرای دزد اطلاعات که بالاتر گفتم هم دقیقاً از همان‌جا معلوم شد. توضیحات صفحهٔ اصلی هم اغلب چیز دیگری را تبلیغ می‌کند و فهرست در واقع ویترین کانال یا ربات کسی از آب درمی‌آید.
اگر چیز مشکوکی را دانلود و اجرا کرده‌اید:
- در تلگرام بخش دستگاه‌ها را باز کنید و نشست‌های ناآشنا را ببندید. نام بخش‌ها را همان‌طور می‌نویسم که در نسخهٔ انگلیسی تلگرام آمده است:
Settings → DevicesیاPrivacy and Security → Active Sessions. - رمزهای عبور را عوض کنید، همان‌طور که سازندهٔ آن برنامه هم توصیه می‌کند.
- کد ورود تلگرام را به هیچ‌کس ندهید، نه به آدم‌ها و نه به سرویس‌ها و برنامه‌های دیگر، حتی اگر خیلی مؤدبانه درخواست کنند.
اگر نمی‌خواهید بررسی کنید سرور مال کیست
و حالا آنچه دربارهٔ خودمان قول داده بودم. اگر نمی‌خواهید بفهمید چه کسی پشت سرورِ یک لینک از فهرست است، می‌توانید پروکسی را از کسی بگیرید که شناخته‌شده است. FreeGate یک پروکسی شخصی MTProto است که با یک لینک در برنامهٔ رسمی تلگرام وصل می‌شود، بدون برنامهٔ جداگانه و بدون دانلود: خود تلگرام دربارهٔ پروکسی می‌پرسد و شما «اتصال پروکسی» را می‌زنید. این پروکسی فقط داخل تلگرام کار می‌کند و برنامه‌های بانکی و بقیهٔ برنامه‌ها مستقیم به اینترنت وصل می‌شوند. هر دستگاه لینک خودش را دارد، و اگر لینک درز کرد، آن را در حساب کاربری با یک لمس عوض می‌کنید و لینک قبلی فوراً از کار می‌افتد. ما پیام‌های شما را نمی‌بینیم، چون خود تلگرام آن‌ها را رمزگذاری می‌کند.
می‌توانید رایگان امتحان کنید: ۱ روز پس از ثبت‌نام با ایمیل و تأیید آن، بدون پرداخت و بدون کسر خودکار. قیمت برای یک دستگاه است، یعنی گوشی و کامپیوتر جداگانه حساب می‌شوند، و تعرفه‌ها و شرایط را روی سایت می‌بینید. این پروکسی در برنامه‌های رسمی تلگرام برای iOS، اندروید، ویندوز، macOS و لینوکس کار می‌کند. جزئیات و شروع روز آزمایشی در freegate.app/ir.