Я сделал служебного бота администратором канала и запретил ему почти всё.
Его задача простая: публиковать согласованные посты одновременно в Telegram и MAX. Без статуса администратора это не работает.
Можно было выдать все права. Так быстрее: поставил несколько галочек и забыл.
Я оставил только право на публикацию.
Бот не управляет другими администраторами и не получает доступ к действиям, которые его код всё равно не использует. Понадобится новая функция — я отдельно добавлю конкретное разрешение.
Токен бота — это ключ. Он может случайно попасть в старый архив, лог или чужие руки. Если ключ открывает одну дверь, ущерб ограничен. Если им открывается всё здание, одна ошибка становится большой проблемой.
У меня для таких интеграций простой вопрос: что самое плохое сможет сделать система, если начнёт работать неправильно?
Откройте список прав своих служебных ботов. Всё, чем они не пользуются, лучше отключить.