Что мини-приложение MAX знает о вас: данные и доступы

При запуске мини-приложение получает стартовый набор сведений о вас автоматически: числовой идентификатор, имя и фамилию из профиля, ник, код языка, ссылку на фото профиля, идентификатор и тип чата, из которого вы пришли, ваш IP-адрес, идентификатор запроса и время открытия. Всё это приходит в приложение в момент запуска, без диалогового окна и без кнопки «разрешить».

Отдельного подтверждения требуют четыре вещи: номер телефона, камера для сканирования кода, биометрия и модуль бесконтактной передачи. Переписка, список контактов и содержимое чатов приложению не передаются вообще — ни автоматически, ни по запросу.

Разница принципиальная: то, что уходит автоматически, вы никак не подтверждаете и не видите. То, что запрашивают отдельно, — всегда ваше решение, и отказ приложение обязано корректно отработать.

Список стартовых параметров закрыт, и полезно понимать, чего в нём не встречается. Там нет ваших сообщений — ни из этого чата, ни из любого другого. Нет списка контактов и списка чатов. Нет адреса электронной почты. Нет номера телефона, хотя именно он служит основой аккаунта. Нет и данных документов, если вы пользуетесь цифровыми сервисами внутри мессенджера.

Это стоит помнить, встречая тревожные пересказы про чужие сообщения и слежку через встроенные окна. Механизм передачи данных описан в документации платформы явно, и содержимого чатов в нём нет: чат представлен номером и типом.

Практический вывод. Опасность мини-приложения — не в том, что оно вычитает старые сообщения, а в том, что вы сами введёте в его форму. Реквизиты, коды из смс и пароли остаются главным риском независимо от формата окна.

Про то, как отличить официальный сервис от подделки, у нас есть разбор на примере региональных витрин — там же перечислены типовые схемы, где под видом сервиса просят код или логин.

Менее очевидная часть — управление самим окном. Мини-приложению доступны методы, которые меняют поведение устройства, пока окно открыто. - Запрет скриншотов и записи экрана. Приложение вправе отключить съёмку экрана и включить её обратно. Если снимок внутри окна вдруг не получается, дело, скорее всего, в этом, а не в сбое телефона. - Яркость. Экран можно вывести на максимум и затем вернуть прежнее значение — приём для показа кодов на кассе. - Отклик вибрацией. Тактильные сигналы при действиях, на компьютере и в вебе не работают. - Предупреждение перед закрытием. Приложение может перехватить попытку закрыть окно с незаполненной формой и переспросить.

Запрет скриншота выглядит ограничением, но по смыслу это защитная мера: так закрывают экраны с платёжными реквизитами и одноразовыми кодами от съёмки чужой камерой и от вредоносных программ, снимающих экран в фоне.

Вместе со стартовым набором приложение получает контрольное значение — подпись. Она вычисляется по всем переданным параметрам с использованием секретного ключа, который известен только платформе и владельцу конкретного бота. Разработчик обязан проверить её на своём сервере, и документация формулирует смысл проверки прямо: убедиться, что данные принадлежат реальным пользователям и не были изменены.

Что это означает для вас на человеческом языке. Подделать стартовый набор снаружи нельзя: нельзя подставить чужой идентификатор и притвориться другим человеком, нельзя подсунуть сервису выдуманного пользователя. Но подпись не защищает от самого владельца приложения — он видит переданные данные и распоряжается ими по своим правилам. Механизм отвечает за подлинность, а не за приватность, и путать эти две вещи не стоит.

Проверка подписи — обязанность разработчика, а не гарантия платформы для каждого приложения. Если сервис ленится её выполнять, страдает в первую очередь он сам.

Отдельной кнопки «отозвать доступ к моим данным», как в приложениях социальных сетей, здесь нет — по устройству формата она и не нужна: доступ выдаётся не разово, а заново при каждом запуске. Закрыв окно, вы прекращаете передачу нового стартового набора.

Дальше действует та же логика, что и с обычными ботами: пока диалог с ботом существует, кнопка запуска остаётся на месте. Если сервис больше не нужен, разбираться надо не с окном приложения, а с самим ботом — остановить, удалить диалог или очистить историю. Разница между этими тремя действиями существенная, и мы разбирали её подробно в инструкции как отключить чат-бота .

Важно понимать границу: закрытие окна и удаление бота убирают приложение из вашего мессенджера, но не стирают то, что уже ушло на сервер разработчика. Удаление этих сведений регулируется его политикой обработки данных — и требовать его нужно у него, а не у платформы.

Честный список пробелов, чтобы не додумывать за первоисточник. - Срок жизни стартовых данных не задан. Отметка времени передаётся, но допустимый возраст набора платформа не устанавливает — порог выбирает сам разработчик. - Нет пользовательского реестра выданных доступов. Общего экрана со списком приложений, которым вы что-то разрешали, документация не описывает. - Не описан порядок удаления данных на стороне сервиса. Требование опубликовать политику обработки есть, единого механизма отзыва — нет. - Ограничение по хранилищу указано только для защищённого. Для обычного хранилища устройства предел в документации не назван.

Пробелы эти не критичны, но объясняют, почему главная защита здесь — выбор приложения, а не настройка. Разрешения, которые можно отозвать постфактум, платформой не предусмотрены.