Мессенджеры *

Почему корпоративные чаты постепенно превращаются в новую файловую систему

Когда-то для хранения рабочих файлов были папки, сетевые диски и корпоративные порталы. Сейчас всё чаще главным местом хранения информации становится обычный рабочий чат.

Презентация? "Где-то в чат".
Ссылка на документ? "Используй поиск".
Важное решение? "Где-то выше в переписке".
Нужный файл? "Поищи в нашем чате, я точно отправлял".

В результате чат постепенно превращается в файловую систему, только без нормальных папок и структуры.

Почему так происходит

Чат удобнее большинства корпоративных систем.

Чтобы отправить файл, достаточно перетащить его в окно. Не нужно создавать папку, выбирать права доступа и придумывать название.

Но удобство быстро превращается в проблему.

Через несколько месяцев поиск нужного документа выглядит примерно так:

"Это было либо в понедельник, либо в четверг. Кажется, Андрей отправлял. Название было что-то вроде final_final22314.xlsx".

Поиск по сообщениям помогает, но не решает главную проблему: контекст и информация смешиваются в одном потоке.

Самая опасная часть — знания

Файл найти ещё можно.

Гораздо хуже, когда в чате остаётся решение:

"Давайте делаем по второму варианту".

Через полгода новый сотрудник видит это сообщение, но вообще в глаза его не видел:

• что обсуждалось до него;

• почему выбрали второй вариант;

• кто принимал решение;

• актуально ли оно сейчас.

Получается своеобразная «база знаний без документации».

Что с этим делать

Не обязательно запрещать использование чатов.

Достаточно разделить информацию:

Чат — обсуждение и быстрые решения.
Задачник — конкретные действия.
Документы — актуальные файлы.
База знаний — решения и правила, которые должны жить долго.

Главное правило можно сформулировать очень просто:

Чат должен быть местом, где информация появляется, а не местом, где она навсегда хранится.

Иначе однажды поиск по корпоративному чату станет самым важным IT-инструментом компании — просто потому, что больше никто не знает, где что лежит.

Почему одни Telegram-каналы с 500 подписчиками зарабатывают больше чем другие с 50 000

Долго не мог понять эту разницу. Потом увидел несколько проектов изнутри и стало понятно.

Дело не в размере аудитории. Дело в том за что именно платят подписчики.

В большом канале с холодной аудиторией люди подписались потому что алгоритм показал или кто-то порекомендовал. Они читают. Но не платят - потому что не чувствуют связи с автором. Контент есть, отношений нет.

В маленьком канале с горячей аудиторией люди пришли целенаправленно, следят давно, чувствуют что автор понимает их ситуацию. Они платят не за контент - за доступ к человеку который им доверяет.

Это меняет всю стратегию монетизации.

Большой канал монетизируется рекламой - там нужен охват. Маленький канал монетизируется подписками и консультациями - там нужна глубина отношений.

Проблема в том что большинство авторов растут в размере но не в глубине. Гонятся за подписчиками, теряют близость с аудиторией, и потом удивляются почему монетизация не работает.

Самый быстрый способ проверить где вы сейчас: спросите свою аудиторию о чём-нибудь личном и посмотрите сколько человек ответят. Если отвечают единицы из тысяч - аудитория холодная. Если десятки из сотен - горячая.

У вас какой тип аудитории и как это влияет на монетизацию?

Миграция корпоративных коммуникаций - это не только перенос почты. Компаниям необходимо сохранить документы, календари, учетные записи и историю переписки, а сотрудникам доступ к привычным рабочим инструментам.

12 августа в 11:00 МСК пройдет бесплатный вебинар «Импортозамещение ≠ долго, дорого, формально. Миграция корпоративных коммуникаций: опыт VK WorkSpace и кейсы крупных компаний».

Эксперты VK Tech расскажут, как подготовить инфраструктуру к переходу, какие данные можно перенести в SaaS-версию и нужно ли при этом останавливать работу на прежней платформе. Отдельно разберут возможные ошибки при миграции, восстановление неперенесенных данных и адаптацию сотрудников после запуска новой системы.

В прямом эфире покажут работу сервисов VK WorkSpace: почты, календаря, мессенджера, видеоконференций, документов, облачного диска и таск-трекера. На примерах крупных компаний спикеры объяснят, сколько времени может занять переход и какие сложности обычно возникают в процессе. Вебинар проведут Сергей Кирсанов, менеджер по развитию продаж VK WorkSpace, и Иван Бородин, пресейл-архитектор VK WorkSpace.

Считал экономику платного Telegram-канала. Комиссия с оборота или фиксированный тариф - разница оказалась неожиданной

Последний месяц изучаю рынок монетизации Telegram. Не в теории - смотрел реальные проекты, считал цифры, разбирал юридические нюансы.

Поделюсь тем что удивило.

Большинство людей выбирают сервис по стоимости подключения. Это почти всегда ошибка.

Настоящая стоимость - в модели работы сервиса. А моделей сейчас три.

Модель 1 - комиссия с каждой оплаты

Tribute, Paywall и похожие сервисы берут 10-20% с каждой транзакции. Деньги идут через их систему, они выплачивают тебе остаток по расписанию.

Считаем на конкретных числах. При обороте 30 000 рублей в месяц комиссия 10% это 3 000 в месяц и 36 000 в год. При обороте 100 000 - уже 10 000 в месяц и 120 000 в год. При 300 000 - 30 000 в месяц и 360 000 в год только за пользование платформой.

Плюс: не надо думать о платёжках, просто подключился и работаешь.

Минус который мало кто считает заранее: при обороте от 100к в месяц комиссия начинает ощутимо давить. А ещё - Tribute работает через иностранное юрлицо (TRBT Limited). Для самозанятых это дополнительные вопросы по 173-ФЗ о валютном контроле.

Модель 2 - Telegram Stars

Нативная валюта платформы. Пользователь платит не выходя из Telegram, конверсия выше.

Но есть нюансы которые многие узнают постфактум. Если пользователь купил Stars через iOS или Android - Telegram отдаёт разработчику примерно 70%, остальное уходит Apple или Google. Если через десктоп - почти всё твоё. Вывод только через Fragment в TON, для рублёвой отчётности лишний шаг.

Для кого подходит: проекты где аудитория сидит в основном на десктопе, или те кто не против крипто-вывода.

Модель 3 - фиксированный тариф

Деньги идут напрямую на твой счёт в ЮKassa или CloudPayments, сервис берёт фиксированную абонентку.

Та же математика. При обороте 30 000 в месяц платишь фикс около 2 000 - экономия против 10% всего 1 000, разница несущественная. При 100 000 в месяц фикс те же 2 000, экономия уже 8 000. При 300 000 - фикс 2 000, экономия 28 000 в месяц. За год это больше 300 000 рублей которые остаются у тебя а не у платформы.

Из российских сервисов с такой моделью смотрел Nemiling - там фиксированный тариф от 1 790 ₽ в месяц без ограничений по количеству проектов, деньги приходят напрямую на счёт, бесплатно до 5 000 ₽ оборота.

Что ещё важно при выборе - и про что почти не пишут.

Автоматическое удаление при отмене подписки. Кажется очевидным, но не все сервисы делают это надёжно. Если бот не удалил пользователя который не продлил - он продолжает получать закрытый контент бесплатно. На маленькой аудитории не критично, на большой - реальные потери.

Платные группы а не только каналы. Большинство сервисов умеют закрытые каналы. Но платная группа где участники общаются между собой - это другой технический сценарий. Не все его поддерживают.

Платные консультации с таймером. Если продаёшь не подписку а доступ к себе - нужен другой механизм. Пользователь платит за определённое время общения, после которого доступ закрывается автоматически.

Налоговый статус. Самозанятый или ИП - это влияет на выбор сервиса. Деньги которые приходят от иностранного юрлица могут создавать вопросы которые лучше закрыть заранее, а не когда уже пришло требование от банка.

Правильный вопрос при выборе сервиса не «сколько стоит подключение», а «какова полная стоимость при моём планируемом обороте через год» плюс «какие юридические риски я принимаю».

При обороте до 20-25 тысяч в месяц разница между моделями почти незаметна - можно брать что удобнее. При росте выше - фиксированный тариф начинает выигрывать математически.

А вы как выбирали инструмент для монетизации Telegram-проекта - считали экономику заранее или уже потом пересчитывали?

[пожалуйста, не злоупотребляйте эмодзи]

😻 Привет Халчане! Новое обновление HalChat for Android 1.0.3 (Pin, read and react)

Что нового?
🥷 Теперь можно закреплять сообщения
🤗 Поиск по чату
😳 Реакции на сообщения
🤓 Возможность выделять и копировать текст
🤖 Синхронизация действий в реальном времени
🫢 Возможность вернуться в самый низ, когда зашли далеко

Что исправлено?
🤠 Проведена оптимизация от улучшения распределения задач до ускорение процессов синхронизации
👻 Исправлены баги (опросы показывали зашифрованный текст, не всегда загружались люди, терялась синхронизация и данные и т.п.)
🫩 Добавлен выбранный вариант в опросе

Что дальше?
🙀 В следующем обновлении будут дополнительно добавлен локальный ИИ. Благодаря однобитным ИИ моделям, это новая технология уже доступна на HalChatWeb.
🤔 Также я дообучил собственную ИИ модель HalChat-RP с которой сняты больше ограничений и дообучена на RP общении, в том числе все 1к+ ИИ персонажей из генератора HalChatRP

И хотел бы попросить вас всем пройти опрос, проголосовало мало людей, а от этого выбора зависят новые звуковые эффекты мессенджера: https://halwarsing.questionpro.com/t/AddsYZ9TdN

😈 До новых встреч!

Google Play: https://play.google.com/store/apps/details?id=halwarsing.net.halchatandroid
RuStore: https://www.rustore.ru/catalog/app/halwarsing.net.halchatandroid
HalChat Web: https://halch.at/c/tZgWWT
GitHub: https://github.com/halwarsing/HalChat/tree/dev

Хочу сделать своего бота для монетизации платного контента в Telegram.

Смотрел условия и считал экономику уже существующих ботов и сервисов, и теперь не особо понимаю какую модель выбрать. Вернее понимаю какая была бы интересна мне, но если смотреть с точки зрения пользователя, особенно учитывая что бюджеты на рекламу у меня не такие огромные как у действующих конкурентов, нужно что-то очень выгодное для пользователей, как минимум на старте сервиса.

Кандидаты, которых изучил:

Tribute и Paywall - деньги идут через внутряннию систему сервисов, они забирают комиссию с каждой транзакции (от 10 до 20%). Tribute официально декларирует плоскую комиссию 10% выплаты по расписанию два раза в месяц. Для меня это хорошая модель: чем больше оборот, тем больше я заработаю. Но если смотреть глазами пользователя, при росте оборотов 10-20% начинают очень заметно съедать прибыль, и сегодня многие склоняются в пользу другой модели.

Nemiling - там переводы идут напрямую на счёт, а вместо комиссии фиксированный тариф за оборот: бесплатно до 5k руб/мес, дальше два плана без ограничения по количеству проектов - 1790 руб/мес при обороте до 60 000 руб/мес и 2990 руб/мес при обороте выше - без ограничений. По сути, это классическая SaaS-модель с подпиской.

Сравнивая выгоду и анализируя отзывы скадывается впечатление что фиксированная модель по типу Nemiling будет лучше для пользователей, а соотвестственно будет легче продвигаться, при это окупаемость будет дольше.

Как ведут себя цифры при обороте

Если по‑честному взглянуть на цифры, разница между процентной моделью (как у Tribute/Paywall) и фиксированной подпиской (как у Nemiling) становится болезненной уже на средних оборотах.

Если владелец канала стабильно делает 50 000 в месяц.
С комиссией 10% он каждый месяц отдаёт по 5 000, а за год набегает около 60 000 только за пользование платформой.
В фиксированной истории вроде Nemiling на таком уровне автор платит около 2 000 в месяц, то есть примерно 21-22 тысячи в год. Получается, вместо 60k он отдаёт чуть больше двадцати - просто потому, что платит фикс за сервис, а не процент с каждой оплаты.

А если автор стабильно держит в районе 300-500 тысяч в месяц?
При процентной модели 10% это уже 30-50 тысяч в месяц, то есть от 360 до 600 тысяч в год только за то, что он пользуется сервисом.
В фиксированной модели он всё так же платит несколько тысяч в месяц, суммарно порядка 35. Разница уже не просто ощутимая, а стратегическая.

Так вот как создателю бота, мне хочется запуститься с моделью как у Tribute или Paywall, она она обещает хорошие деньги, но с другой стороны, смогу ли я успешно конкурировать с такими закоренившимися ботами. Хочется зайти в нишу и при этом сделать всё так, что-бы иметь конкурентное приемущество.

Если выбрать решение типа Nemiling: удобный рублёвый вывод на счёт, фиксированная плата при росте оборотов и экономия в разы. У меня будет "козырь" с котрым проще зацепиться и удержаться, хотя и окупаемость будет дольше.

Вопросы к сообществу

1. Кто юзает ботов платных подписок: какую модель в итоге выбрали и почему?

2. Какие тонкие нюансы с выводом и отчётностью вы встречали при работе с Tribute, Paywall, Stars, Nemiling, investmember? Особенно интересует опыт с рублёвой отчётностью и валютным контролем.

3. Есть ли на сегодняшний день надёжные гибридные решения - например, фиксированная подписка + внутренняя опция «оплатить через Telegram (Stars)»?

Буду признателен за конкретные цифры, кейсы и ссылки на опытные расчёты. Спасибо!

Telegram-канал как продукт: что я понял только после запуска

Когда запускал платный канал, думал что весь фокус на контент. Сделай хороший контент, люди будут платить.

Как бы не так.

Первое. Люди не покупают контент, они покупают доступ к человеку. Два канала с одинаковым качеством материала показывают разную конверсию если у одного автора есть лицо, история и голос, а у другого просто полезные посты. Если в контенте нет тебя как личности, то он на фиг ни кому не нужен, если только это не контент для взрослых, конечно же.

Второе. Удержание в Telegram другое чем где-либо ещё. От email-рассылки отписываются легко, из закрытого канала уходят реже. Не потому что контент лучше, а потому что канал это сообщество. Человек уходит не от контента, он уходит от людей. Это меняет то как нужно думать про churn.

Третье. Первый дни решает почти всё. Если подписчик не вовлёкся в сразу, он скорее всего не будет продлевать подписку. Онбординг в Telegram продукте это не приветственное сообщение, это целый сценарий первых взаимодействий и чётко выстроенная структура информации внутри канала.

Всё это звучит очевидно когда читаешь. Не очень очевидно когда запускаешь.

Кто строил платные продукты в Telegram, что стало главным сюрпризом?

Дал боту имя и работать стало приятнее

Сделал очередного рабочего бота. Как обычно прописал кто он и что делает, но вот из необычного решил дать ему имя.

Назвал Степаном.

Смешно, но код стал аккуратнее.

Потом прочитал что в Петровиче примерно так же сделали целую команду ботов с именами и маскотами. И это не прикол для корпоратива, а реальная тема которая изменила качество разработки у команды.

Наверное дело в том что когда называешь что-то именем, начинаешь нести за это ответственность иначе. Не «упадёт и ладно», а «Степан не должен падать».

Кто-нибудь ещё так делает или это только у меня странности?

Реклама в Telegram в 2026 году: что работает, что перестало

Последние полгода активно тестировал разные форматы продвижения в Telegram.

В Ads через официальный кабинет минимальный порог входа снизился до 1500 евро, это уже не только для крупных компаний. Таргетинг по каналам работает нормально если правильно подобрать список. Цена за пдп сильно зависит от ниши, у меня выходило от 40 до 180 рублей.

Посевы в каналах. Живее чем кажется. Но рынок сильно изменился + цены подросли не смотря на все замедления и прочие проблеммы: накрученные каналы стали легче распознавать по статистике просмотров и вовлечённости. Спасибо Telemetr и Tg Stat. Хорошие площадки с живой аудиторией стоят дороже, зато конверсия реальная.

Взаимный пиар. Работает только если аудитории реально пересекаются по интересам. Иначе прирост есть, удержания нет.

Что удивило: Stars как инструмент продвижения. Telegram позволяет оплачивать рекламу внутри платформы звёздами, и это заметно дешевле чем через обычный кабинет. Не все знают про эту механикуу.

Главный вывод: Telegram как рекламная платформа ростёт. Халявного трафика почти не осталось, зато инструменты стали нормальными. Бюджет нужен, но и результат предсказуемее.

Какие форматы продвижения сейчас используете, что даёт лучшее соотношение цены и качества аудитории?

Telegram как платформа для платного продукта: что изменилось в 2026 году

Два года назад когда я впервые запускал платный доступ через Telegram, это выглядело как костыль. Бот принимает деньги, добавляет пользователя в закрытый канал, следит за сроком. Всё самописное, всё ломалось в самый неподходящий момент.

Сейчас картина другая.

Telegram Stars превратился в нормальный платёжный инструмент внутри платформы. Пользователь платит не выходя из мессенджера, конверсия ощутимо выше чем при редиректе на сайт. Для цифровых продуктов это реально меняет воронку.

Но самое интересное не в Stars. Аудитория Telegram в 2026 году психологически готова платить внутри мессенджера. Два года назад нужно было долго объяснять зачем вообще платить за контент в Telegram. Сейчас люди привыкли, платные каналы и боты стали нормой.

Что из этого следует для продуктов.

Telegram перестал быть каналом дистрибуции и стал полноценной платформой для монетизации. Со своей аудиторией, своей экономикой и своими ограничениями.

Ограничения реальные: вывод через Stars только в TON через Fragment, для российского бизнеса с рублёвой отчётностью это головная боль. Поэтому многие комбинируют: Stars для части аудитории, ЮKassa через Payments API для тех кто предпочитает карту.

Ещё один момент который я не ожидал: удержание в Telegram выше чем в большинстве других форматов. Люди не отписываются от бота так легко как от email-рассылки. Если продукт нормальный, churn заметно ниже.

Для каких продуктов это работает лучше всего: закрытые сообщества, доступ к контенту по подписке, консультации с автоматическим онбордингом. Для чего работает хуже: сложные SaaS с кучей настроек, всё что требует нормального личного кабинета.

Пробовали монетизировать что-то через Telegram?

Telegram Stars в боте: попробовал прикрутить, делюсь что удивило

Давно хотел добавить платежи в одного из своих ботов. Раньше использовал ЮKassa через нативный Telegram Payments. Но в этот раз решил попробовать Stars, всё-таки нативная валюта платформы, без внешних провайдеров.

Настройка оказалась проще чем ожидал. Никаких provider_token, никакой возни с webhook от платёжки. Просто отправляешь инвойс с указанием суммы в Stars и обрабатываешь successful_payment. Примерно так:

python

await bot.send_invoice(
    chat_id=message.chat.id,
    title="Премиум доступ",
    description="Доступ на 30 дней",
    payload="premium_30d",
    currency="XTR",
    prices=[LabeledPrice("30 дней", 100)]
)

Работает. Пользователь платит не выходя из Telegram, конверсия реально выше чем при редиректе на внешнюю страницу.

Но есть нюансы которые я не учёл сразу.

Первое: если пользователь покупал Stars через iOS или Android, Telegram отдаёт разработчику примерно 70% от суммы, остальное Apple и Google забирают себе. Если через десктоп или веб — почти всё твоё. Это принципиально меняет экономику для аудитории которая сидит на телефоне.

Второе: возвраты. Stars можно вернуть и Telegram это делает по запросу пользователя. Нужно обрабатывать refunded_payment иначе пользователь получит деньги обратно а доступ у него останется.

Третье: вывод только через Fragment в TON. Для российского юрлица это отдельная история.

В целом для цифровых товаров и небольших сумм Stars удобнее чем внешние платёжки. Но если оборот серьёзный или нужен рублёвый вывод, ЮKassa всё ещё выглядит надёжнее.

Кто уже работает со Stars в продакшене, как решаете вопрос с выводом в рубли?

Как записывать "кружочки" в мессенджере "BITCORD".

Пишу крутой облачный мессенджер (мини-соцсеть) под пилотным названием BITCORD. Недавно для него реализовал новую функцию отправки видеосообщений в формате других популярых мессенджеров. Теперь любой пользователь может отправить своему собеседнику модное селфи без каких-либо специальных настроек. Это дополняет общение дополнительными крутыми фишками.

Чтобы отправить такое видео, достаточно открыть чат и выбрать в верхнем выпадающем меню пункт "Селфи видео". Далее откроется небольшое диалоговое окошко, где необходимо нажать и удерживать кнопку "Hold" - после этого начнется процесс записи видео с фронтальной камеры смартфона.

Длительность записи ограничена по времени, чтобы не перегружать смартфон ресурсоемким процессом. После истечения лимита или как только пользователь отпустит кнопку, видео отправится на бэкенд для дальнейшей обработки.

Особенности видеосообщений:

• Лимит времени: Максимальная длительность одного ролика составляет 10 секунд.

• Формат: Видео автоматически обрезается в форме круга и записывается на фронтальную камеру.

• Воспроизведение: В чате такие ролики проигрываются один раз при нажатии "Play".

Способ 1

Бэкенд приводит видео к "квадратному" формату с соотношением сторон 1:1 и возвращает ссылку на него обратно в чат собеседникам.

Ниже пример выполнения преобразования видео в "квадратный" формат с помощью "ffmpeg":

ffmpeg 
  -i input.mp4 
  -vf "crop=480:480:0:(ih-480)/2" 
  -c:v libx264 -crf 23 
  -c:a copy output.mp4

Чтобы отобразить "квадратное" видео в виде круга на Java, я создаю шаблон (ViewOutlineProvider). Он принудительно задает графическому элементу (View) форму идеального круга фиксированного размера:

private static final ViewOutlineProvider CIRCLE_PROVIDER = new ViewOutlineProvider() {
  @Override
  public void getOutline(View view, Outline outline) {
    int sizeInPx = (int) TypedValue.applyDimension(
      TypedValue.COMPLEX_UNIT_DIP, 270, view.getResources().getDisplayMetrics()
    );
    outline.setOval(0, 0, sizeInPx, sizeInPx);
  }
};

Затем в холдере применяю описанный выше шаблон к TextureView и ImageView:

static class CircleVideoViewHolder extends BaseViewHolder {
  TextureView texture;
  ImageView   preview;

  VidCrViewHolder(View v) {
    super(v);
          
    texture = v.findViewById(R.id.video_texture);
    preview = v.findViewById(R.id.video_preview);

    texture.setOutlineProvider(CIRCLE_PROVIDER);
    preview.setOutlineProvider(CIRCLE_PROVIDER);

    texture.setClipToOutline(true);
    preview.setClipToOutline(true);
  }
}

В результате выполнения этого кода видео примет "круглый" вид.

Способ 2

Как показала практика, кодирование видео в "квадратный" формат на бэкенде невыгодно, так как оно занимает время и нагружает сервер. Без хорошей видеокарты, которая на бэкенде часто отсутствует, работать с видео накладно. Поэтому я пошел другим путём.

Так как камера смартфона снимает видео не в "квадратном" формате, я воспользовался матрицей преобразования, центрировал кадр и обрезал лишние стороны.

//фиксированный размер видео с камеры смартфона: 480x640
float scaleY = h / (w * 480 / 640); 
Matrix matrix = new Matrix();
matrix.setScale(1.0f, scaleY, w / 2f, h / 2f);
CircleVideoViewHolder vch = (CircleVideoViewHolder) holder;
vch.texture.setTransform(matrix);

При таком подходе вся работа выполняется на стороне графического процессора (GPU) самого смартфона с максимальной скоростью. Это полностью избавляет от необходимости обрабатывать видео на бэкенде.

В результате получилась вот такая красота:

Итог:

Перенос графических вычислений на сторону клиента (в данном случае на GPU смартфона) позволил решить сразу две важные задачи. Во-первых, это полностью разгружает бэкенд-сервер от тяжелых операций перекодирования видео. Во-вторых, обеспечивает пользователя мгновенным откликом интерфейса и быстроту отправки сообщения, так как обработка кадра происходит "на лету" прямо во время записи.

Спасибо за вашу поддержку. Это придает стимул писать дальше.

Лайфхак для мозга:как закрывать задачи и не терять эффективность.

Вам знакомо чувство, когда 10 мелких незавершенных задач буквально живут в голове и забирают внимание, даже когда ты занята другим.

Это эффект Зейгарник или налог на внимание. Каждая незакрытая задача в списке тихо съедает часть рабочей памяти, весь день, фоном. Почему так происходит?

Мозг тянется к задачам с ощущением веса и масштаба, потому что там есть понятная награда — чувство, что сделал что-то значимое. Мелкая задача этого не обещает, и мозг её тихо игнорирует, раз за разом выбирая что-то покрупнее.

Единственное, что здесь работает — убрать у мозга возможность выбирать. Если задача занимает меньше двадцати минут, она уходит в работу первой, до всего остального. Так мелкие вещи перестают съедать фоновое внимание, которое нужно для по-настоящему сложных решений.

Такие дела. 

Попирание свободы выбора Apple и в случае с Макс это другое?

Эту новость вероятно видели многие, после блокировки нескольких приложений в Аpp Store последовал комментарий от многих чиновников, в том числе и такой:

«Apple диктует россиянам, какими приложениями пользоваться, что читать и что писать. Цель — тотальный контроль над нашими вкусами, мыслями и действиями», — заявила уполномоченный по правам человека Яна Лантратова в своём Telegram-канале.

И в этой новости прекрасно буквально все:

Почему в ТГ? Его же заблокировали официально? Или замедлили? Или запретили пользоваться? Или признали недружественным мессенджером? Или посоветовали им не пользоваться? Тут я не разобрался до конца.

И второй момент - где то я это уже видел. Пару месяцев назад буквально, но тогда это называлось - забота о безопасности граждан.

Что думаете? Это другое получается? Или госпожа депутат не разобравшись в вопросе, не справилась с эмоциями и выдала этот шедевр не подумав? Или просто проведению параллелей не учат на курсах депутатского мастерства?

VKCipher: сквозное шифрование для переписки ВКонтакте

Это браузерное расширение, которое добавляет end-to-end шифрование в веб-версию ВКонтакте(и в pwa мессенджер). Работает везде: iPhone /Windows / Mac / Linux / Android

Что умеет:шифрует сообщения, картинки и видео.В планах еще голосовухи.

Репозиторий: VKCipher

Работает через Tampermonkey / Userscripts: Chrome на пк, Safari на iPhone, Firefox на Android. Открываете vk.com, vk.ru или web.vk.me, заходите в чат — в поле ввода появляются кнопки шифрования и управления ключами.

Зачем

У ВК есть огромный плюс: он уже установлен у миллионов людей. У него же есть очевидный минус: обычная переписка не является end-to-end encrypted

VKCipher закрывает именно этот слой. Не пытается заменить мессенджер, не делает VPN, не обещает анонимность. Он делает одну вещь: содержимое сообщения уходит в ВК уже зашифрованным.

ВК, браузерный интерфейс, логи, бэкапы, случайный доступ к аккаунту или серверной стороне видят не текст, а строку вида:

ENC[key<id>:base64(iv ciphertext tag)]

Без ключа это не сообщение, а мусор.

Как устроено?

Криптография не самописная. Используется AES-256-GCM через нативный Web Crypto API браузера. Для каждого сообщения генерируется новый 12-байтный IV/nonce. GCM-tag проверяет целостность: если шифротекст повредили или подменили, расшифровка падает.

Ключи можно получить двумя способами:

1. Seed-фраза Пользователь вводит фразу, из неё через PBKDF2-SHA256 генерируются k1…k4.

2. 64-hex ключ Можно добавить свой ключ вручную или сгенерировать временный [РЕКОМЕНДУЮ ВРЕМЕННЫЙ НА КАЖДЫЙ ЧАТ И РОТИРОВАТЬ ЕГО РЕГУЛЯРНО].

Seed-фраза не сохраняется.

Сейчас VKCipher умеет:

• шифровать исходящие сообщения кнопкой;

• автоматически шифровать сообщение при Enter;

• расшифровывать входящие(текст/картинки/видео) прямо в чате;

• переключать [шифр] / [текст];

• работать в личках, беседах и групповых чатах;

• использовать несколько слотов ключей;

• генерировать временный ключ;

• кодировать шифротекст не только Base64, но и emoji-алфавитом.

Последнее не про криптографию, а про UX. Иногда приятнее видеть стену из эмодзи, чем технический Base64. А вероятность такого текста в обычной переписке выше, чем обычного Base64.

Почему не Telegram / Мой_Любимый_Мессенджер?

Потому что это другой сценарий. В Telegram сквозное шифрование есть только в секретных чатах, а обычные чаты — не зашифрованы(Многие этого не знают).VKCipher нужен не для того, чтобы спорить, какой мессенджер «правильный». Он нужен для ситуации, где люди уже сидят во ВК и не хотят/не могут переезжать.

Приватность должна быть не религиозным выбором мессенджера, а функцией, которую можно включить там, где уже идёт общение.

Threat model

VKCipher защищает содержимое сообщений.Он не скрывает:

• факт переписки;

• участников переписки;

• время отправки;

• размер сообщения;

• IP-адрес;

• сам факт использования ВК;

• текст, если устройство уже скомпрометировано;

• ключ, если пользователь сам отправил его в тот же чат.

То есть это не Tor, не VPN и не «режим невидимости». Это именно E2EE-слой поверх существующего транспорта.

Почему открытый код важен

Криптографический инструмент без открытого кода — это «поверьте нам». Мне такой подход не нравится. Поэтому код открыт. Можно проверить реализацию. Плюс можно добавить Макс/Телеграм/Мой_Любимый_Мессенджер

Если найдёте проблему — issue/PR приветствуются.

Итог

VKCipher — это маленький слой приватности поверх ВК. Не новый мессенджер, не новый клиент. Не самодельный шифр. Не магия. Не анонимность.

Просто нормальный AES-256-GCM в привычном чате, с открытым кодом и установкой за несколько секунд.

Репозиторий: VKCipher
Расширение не является продуктом ВКонтакте.

UPD: Все спрашивают банят ли аккаунты? Уже 2 месяца 50к сообщений с друзьями написали, банов нет. Но используйте доп аккаунт (ВК FAQ:Как добавить несколько профилей)
UPD 2: VKEncrypt было занято другим (закрытым) расширением, переименовал в VKCipher

Обратная сторона рабочих чатиков

Андрей Врацкий начал строить рынок корпоративных мессенджеров в 2015 году, когда WhatsApp и Telegram только начинали проникать в рабочие чаты, а безопасники в компаниях делали вид, что все ок и деловая переписка — это личная ответственность сотрудника. 

На создание продукта ушло четыре года. Когда eXpress вышел в 2019-м, то выяснилось: все уже так привыкли к Telegram и WhatsApp, что менять ничего не хотят. 

Прошло семь лет. Сегодня иностранные мессенджеры заблокированы, отечественный* удален из App Store на неопределенный срок. На этом фоне спрос на eXpress вырос в четыре раза — и это пока Telegram все еще работает. Что будет, когда перестанет? 

Хотя по мнению Врацкого, хороший продукт будет востребован вне зависимости от обстоятельств и критерий его успеха — это конкурентоспособность на мировом рынке.

Подробнее — во втором выпуске подкаста «IT-фронтир».

Как не открывать навязанный мессенджер и выжить: история одного моста Max2TG 🚀🚪

Привет,

Случалось ли у вас такое: сидите вы в своём уютном Telegram, пьёте кофе, пишете код… и тут приходят они — инициаторы «великого переезда».

С горящими глазами они объявляют:

Ребята, с понедельника мы все дружно переходим на корпоративный мессенджер МАКС!

И ладно бы это был просто мессенджер. Но к нему обычно прилагаются новый интерфейс, слежка, новые уведомления, которые ломают привычный дзен.

В общем, кто-то с ИИ-напарником сел, переглянулись и решили: если мы не можем отменить МАКС, мы можем сделать так, чтобы никогда его не открывать.

Max2TG — двусторонний мост между МАКСом и Telegram Topics, написанный полностью на чистом вайбе. Ну и на Python, конечно.

Сразу важное уточнение: автор этого поста и автор репозитория никак не связаны. Я просто нашёл проект, посмотрел на идею, восхитился уровнем инженерного упрямства и решил оформить это в виде небольшого рассказа.

Как это работает

Вместо того чтобы держать открытым приложение МАКС, вы создаёте одну Telegram-группу с включёнными топиками, то есть форумами, и приглашаете туда бота.

Дальше всё работает примерно так:

• каждый чат или канал в МАКСе превращается в отдельный топик в Telegram;

• кто-то пишет вам в МАКС — бот ловит сообщение и аккуратно пересылает его в нужный топик в Telegram;

• вы отвечаете на сообщение в топике Telegram — бот отправляет ответ обратно в МАКС от вашего имени;

• картинки, видео, файлы, редактирование и даже удаление сообщений синхронизируются в обе стороны.

С технической точки зрения самое интересное здесь то, что приложение, судя по всему, эмулирует работу официального клиента МАКСа.

Как так получилось, почему это работает и кто вообще оставил эту дверь приоткрытой — науке неизвестно. Мы, как говорится, просто наблюдаем интересный инженерный артефакт.

Выглядит это так: для коллег вы прилежный сотрудник, который мгновенно отвечает в МАКСе. Для себя — человек, который вообще не сворачивает Telegram.

Победа? Победа.

Что под капотом

Проект собран на классическом Python-стеке:

• aiogram;

• aiosqlite;

• python-dotenv.

Но дьявол, как обычно, крылся в деталях. Точнее — в зависимостях.

Поскольку оригинальный API МАКСа завязан на корпоративный TLS со стеком GOST/LibreSSL, при первой сборке авторы столкнулись с суровой реальностью: библиотека шифрования стабильно выдавала SIGSEGV, то есть падение процесса, при долгих параллельных запросах.

Как это решили?

Вайбкодинг-стилем.

Приложение разнесли на три изолированных процесса:

1. Основной процесс — Telegram, SQLite и логика синхронизации.

2. max-polling — отдельный процесс-слухач для событий МАКСа.

3. max-sdk-worker — отдельный процесс для отправки сообщений.

Если суровое шифрование падает от сетевого шока, падает только один маленький воркер, который тихо перезапускается Docker-ом. Основной бот в Telegram при этом даже бровью не ведёт.

Костыль? Нет, отказоустойчивая микросервисная архитектура! 😎

Важный дисклеймер

Этот пост — не рекомендация нарушать корпоративные политики, требования ИБ, правила использования сервисов или внутренние регламенты компании.

Если у вас в организации запрещены неофициальные клиенты, мосты, прокси, боты, автоматизация сообщений или эмуляция работы приложений — лучше не пытаться быть героем. В корпоративной среде «оно же просто пересылает сообщения» очень быстро превращается в разговор с безопасниками, юристами и руководителем.

Проект стоит воспринимать в первую очередь как любопытный инженерный эксперимент: пример того, как люди строят мосты между несовместимыми мирами, когда один мир очень хочет жить в Telegram, а другой внезапно переехал в государственный мессенджер.

Итог

Мост собран, протестирован, залит на GitHub и готов к бою.

Теперь вся коммуникация с МАКСом может происходить из любимого кресла в Telegram.

Если вас тоже пытаются насильно пересадить на новые корпоративные рельсы — не унывайте. Пишите мосты, кодите на вайбе и берегите свою менталку.

Код и инструкция по настройке здесь:

GitHub

🤗 Привет всем!

😻 Обновление HalChat for Android: v1.0.2 (Vote or don't vote)

Что нового?
😌Теперь есть описание чатов.
🤖 Добавлено обновление данных чата.
😉 Добавлены метаданные файлов HD - мгновенное определение что за файл или какие размеры изображения.
😇 Доступны опросы/голосования в чатах.

Что исправлено?
🤓 Если получение или расшифровка пароля была прервана, то теперь он запросит заново, и пароль будет доступен в любом случае.
🫢 Теперь при получении пароля от чата, в списке чатов сообщения будут расшифроваться.
😎 Исправлена система файлов в чате, они будут отображаться всегда и в том числе изображения (исправлен баг).

До новых встреч!

Google Play: https://play.google.com/store/apps/details?id=halwarsing.net.halchatandroid
RuStore: https://www.rustore.ru/catalog/app/halwarsing.net.halchatandroid
HalChat Web: https://halch.at/c/tZgWWT
GitHub: https://github.com/halwarsing/HalChat/tree/dev

А это вообще законно?

Идем на Горздрав с ПК, смотрим номерки к нужному врачу … детскому (!) врачу. Номерков нет (правый скрин). Ну что же, бывает, в отпуск ушли. Так проходит неделя, а номерков все нет. Заходим со смартфона (средний скрин), проверяем … печалька, все еще в отпуске друзья-врачи. Пробуем зайти через макс (левый скрин) и, о чудо! Доктора-то оказываются пашут как не в себя. Просим хорошего человека записать ребенка к врачу, а заодно и прислать скрины.

И вот встает вопрос законности всего этого мероприятия. Ну ладно я не могу по-человечески в телеграм написать в рабочий чат. Хорошо, для покупки алкоголя мне приходится паспорт таскать (шучу). Можно смириться что на госуслуги я могу только по ключам заходить. Домовые чаты и школы – фиг с ними. Но ребята, а не заигрались ли вы? Ну это же медицина, я же за нее налоги плачу. Может я скоро хлеба не смогу себе купить без макса? Давайте бенз продавать только по QR коду из приложения, симки регать только через него … В метро не пускать … Нужно еще учитывать, на минуточку, что приложение удалили из App Store.

Восстановление аккаунта в эфемерном мессенджере, не ломая приватность? Легко!

RCQ это анонимный мессенджер: без телефона и почты, история только на устройстве, сервер хранит минимум. Цена такой модели: потерял телефон, и аккаунт (сам UIN, твоя личность в сети) потерян навсегда. Это отпугивало тех, кому нужен постоянный аккаунт. Мы добавили фразу восстановления и постарались не превратить приватный мессенджер в обычный облачный.

Сразу: Android-клиент теперь в проде, фраза в нём есть. Ссылка в конце.

Аккаунт это ключи

Логина и пароля нет. Аккаунт это пара ключей: X25519 (шифрование) и Ed25519 (подпись). UIN это просто ручка на сервере, привязанная к публичному ключу. Приватные ключи не покидают устройство. Отсюда: бэкап аккаунта это бэкап ключа, а восстановление это доказать серверу, что ключ у тебя.

Откуда фраза

При создании аккаунта генерируется случайный seed на 32 байта. Из него детерминированно выводятся оба ключа через HKDF-SHA256 с фиксированными info-строками:

identity_priv = HKDF-SHA256(seed, "rcq-recovery-x25519-v1", 32) signing_priv = HKDF-SHA256(seed, "rcq-recovery-ed25519-v1", 32)

Из одного seed всегда те же ключи, значит достаточно сохранить seed. Кодируем его в 24 слова по BIP39 (как в криптокошельках): 256 бит энтропии плюс 8 бит контрольной суммы, режется по 11 бит, словарь на 2048 слов. Контрольная сумма ловит опечатки.

Восстановление

На новом устройстве вводишь 24 слова:

1. Из слов получается seed, из seed те же ключи.

2. Клиент берёт у сервера одноразовый челлендж.

3. Подписывает его Ed25519-ключом, шлёт подпись.

4. Сервер проверяет подпись против публичного ключа и отдаёт UIN и токен.

Приватный ключ никуда не передаётся, пароль нигде не хранится. Это challenge-response: перехват челленджа бесполезен, он одноразовый.

Что возвращается

Возвращается личность: UIN, ключи, контакты, группы, ожидающие сообщения. НЕ возвращается локальная история переписки, она только на устройстве (зашифрованный бэкап истории это отдельная фича на будущее). Активные ratchet-сессии (forward secrecy) сбрасываются, собеседники видят смену ключа, как в Signal.

Почему это не ломает приватность

Тонкий момент, проговорим его подробно. Восстановимая фраза это постоянный секрет с полным доступом навсегда. Пока seed лежит только в зашифрованном хранилище приложения, удалил приложение не записав фразу, и всё стёрлось, эфемерность сохраняется. Как только выписал 24 слова, появляется вечная точка восстановления, это другая модель угроз.

Баланс такой: seed есть у каждого нового аккаунта, но воспользоваться им (записать фразу) это твой осознанный выбор, не навязанный. Плюс фразу прячем за подтверждением (+PIN), чтобы её не выгребли с разблокированного на минуту телефона.

Кросс-платформенно

Деривация и словарь одинаковы на Android и iOS. Мы прогнали обе реализации (CryptoKit и наш Android-стек) на одном seed и сравнили побайтово: одинаковые ключи, одинаковые слова. Фразу с Android можно ввести на iPhone и наоборот.

Границы

• История чатов пока не восстанавливается.

• Аккаунты, созданные до фичи, фразы не имеют (их ключи не из seed), для них будет экспорт сырого ключа (но для этого мы и в бете, так что на релизе такого не случится).

• Это не мультидевайс: ввести фразу на втором телефоне можно, но это переезд, а не одновременная работа, ratchet-сессии разойдутся.

Код клиента открыт, Android в проде. Будем рады разбору, особенно по криптографии.

Скачать APK (Alpha)/iOS TF (Beta): https://rcq.app/
GH: https://github.com/rcq-messenger