Consultas por Telegram y WhatsApp: diseño seguro

Un diseño seguro empieza antes del formulario

Recibir consultas por Telegram o WhatsApp es un diseño, no un añadido: la decisión de qué canal usas, dónde vive el token del bot y qué ve el visitante cuando algo falla se toman juntas, antes de escribir una línea de código.

Un diseño seguro tiene tres propiedades: entrega confirmada —sabes que el mensaje llegó, no solo que el servidor respondió—, credenciales privadas —el token vive en el servidor y nunca en el navegador— y una salida —si el envío falla, el visitante conserva el texto y tiene un canal alternativo.

Recibir una consulta es más que mostrar un formulario

Un buen formulario pide lo necesario para empezar una conversación: nombre, correo y una descripción breve del proyecto. El teléfono y la empresa pueden ser opcionales si no hacen falta para preparar el primer paso.

La confirmación debe describir lo que realmente ocurrió. Un servidor que responde con HTTP 200 no demuestra por sí solo que el proveedor haya aceptado el mensaje.

Mantén las credenciales en privado

Si utilizas Telegram para recibir consultas, el token del bot debe estar en un servicio privado del servidor. No lo publiques en JavaScript, variables públicas ni archivos descargables. El destino también debe quedar fijado por el servidor, para que el visitante no pueda elegir a quién enviar el mensaje.

La API oficial de Telegram permite enviar mensajes y devuelve una respuesta que el servicio debe comprobar. El formulario debe mostrar éxito únicamente cuando se confirma la aceptación.

Valida y limita los envíos

Comprueba los campos, el tamaño del mensaje y el origen de la solicitud. Añade límites de frecuencia para reducir envíos automatizados. Ninguno de esos controles garantiza eliminar todo el spam, pero ayudan a proteger el canal.

Una web estática puede seguir utilizando este servicio específico de contacto. No hace falta convertir todas las páginas en una aplicación dinámica ni exponer las credenciales para evitar un servidor.

Ofrece una alternativa sencilla

Si no se confirma el envío, conserva el texto y muestra un enlace de correo o WhatsApp. Abrir esos canales no equivale a enviar un mensaje: el visitante debe completar el envío en la aplicación correspondiente.

Después de publicar, realiza una prueba acordada para comprobar el destinatario y la recepción. Repite la comprobación cuando cambies de proveedor o de configuración.