به گزارش آی سی تی نیوز؛  تلگرام در ۹ نوامبر ۲۰۲۶ (۱۸ آبان ۱۴۰۵) با انتشار Bot API 10.4، قابلیت جدیدی به نام ویجت (Widget) را برای بات‌ها معرفی کرد. این ویژگی به بات‌ها امکان می‌دهد پیام‌هایی با محتوای HTML، CSS و JavaScript ارسال کنند تا کاربران رابط‌های تعاملی، سریع و زیبا را بدون نیاز به مینی‌اپلیکیشن تجربه کنند. پاول دوروف نیز در ۱۰ نوامبر این قابلیت را اعلام کرد .

محیط ایزوله با QuickJS و محدودیت ۴ کیلوبایت

ویجت‌ها در محیط ایزوله‌ای با موتور جاوااسکریپت محدود به نام QuickJS اجرا می‌شوند. محدودیت حجم ۴ کیلوبایت مربوط به کد فشرده‌شده (zlib level 9) است، نه کد خام. کد HTML خام می‌تواند تا ۳۲ کیلوبایت باشد. ویجت‌ها به شبکه و دیگر دسترسی‌های حساس روی دستگاه کاربر دسترسی ندارند و تنها با سرور بات ارتباط برقرار می‌کنند .

محدودیت ورودی کیبورد

برخلاف مینی‌اپ‌های معمولی، ویجت‌ها نمی‌توانند ورودی کیبورد بگیرند. این یعنی کاربر نمی‌تواند در ویجت تایپ کند و تعامل فقط از طریق دکمه‌ها و رویدادهای لمسی امکان‌پذیر است .

پرداخت با کیف پول Gram

ویجت‌ها از TON Connect برای درخواست پرداخت پشتیبانی می‌کنند. بات درخواست را آماده می‌کند، تلگرام کیف پول بومی را باز می‌کند، کاربر مبلغ و مقصد را تأیید می‌کند و بات باید تراکنش را روی بلاکچین تأیید کند. دسترسی به کیف پول به محدودیت‌های منطقه‌ای بستگی دارد .

محدودیت فعلی: فقط چت خصوصی

در محیط تولید، ویجت‌ها فقط در چت خصوصی با بات کار می‌کنند و قابل فوروارد یا کپی نیستند. گروه‌ها و حالت inline فقط روی سرور تست تلگرام در دسترس هستند. تلگرام در حال آزمایش این قابلیت است و احتمالاً در آینده امکان استفاده در گروه‌ها و کانال‌ها فراهم خواهد شد .

ویجت‌های اشتراکی

تلگرام قابلیت جدیدی به نام Shared Widgets معرفی کرده که بات‌ها می‌توانند یک ویجت را در چندین پیام بازاستفاده کنند و از یک نقطه مرکزی به‌روزرسانی کنند. این قابلیت فعلاً فقط روی سرور تست در دسترس است .

روش‌های API

بات‌ها از sendWidget برای ارسال، editMessageWidgetData برای به‌روزرسانی وضعیت (chat_data و public_data، هر کدام حداکثر ۱۰۲۴ بایت) و answerWidgetQuery برای پاسخ به تعاملات استفاده می‌کنند. پاسخ به query باید ظرف ۱۵ ثانیه انجام شود. کاربر می‌تواند حداکثر ۵ query در ۵ ثانیه ارسال کند .

آسیب‌پذیری امنیتی وصله‌شده

هم‌زمان با عرضه این قابلیت، محققی به نام V12 یک آسیب‌پذیری RCE (اجرای کد از راه دور) در موتور QuickJS ویجت‌ها کشف کرد که می‌توانست به هک گوشی‌های اندروید منجر شود. این آسیب‌پذیری در بیلدهای فعلی تلگرام وصله شده است، اما نشان می‌دهد که اجرای کد در محیط چت، ریسک‌های امنیتی جدی به همراه دارد .

تحلیل ICTNews

معرفی ویجت‌ها را باید در چارچوب یک رقابت استراتژیک دید. تلگرام سال‌هاست که با مینی‌اپ‌ها، اکوسیستمی از اپلیکیشن‌های سبک را درون خود ساخته است. اما مینی‌اپ‌ها نیازمند بارگذاری یک برنامه وب کامل هستند و برای تعاملات ساده، سنگین به نظر می‌رسند. ویجت‌ها این شکاف را پر می‌کنند: یک راه سبک‌تر برای ساخت رابط‌های تعاملی که در خود چت رندر می‌شوند، بدون نیاز به باز کردن یک صفحه جدید.

نکته قابل توجه، محدودیت ۴ کیلوبایت است. این عدد در نگاه اول بسیار کم به نظر می‌رسد، اما با کد فشرده‌شده، فضای کافی برای ویجت‌های نسبتاً پیچیده فراهم می‌کند. نمونه‌هایی که تلگرام ذکر کرده، از نظرسنجی با نوارهای متحرک تا بازی صفحه‌ای دو نفره، نشان می‌دهد که این محدودیت مانع خلاقیت نیست.

اما  این نکات را نباید از نظر دور داشت. نخست، محدودیت ورودی کیبورد است. این محدودیت جدی است و بسیاری از کاربردها (مانند فرم‌های ثبت‌نام یا جستجو) را غیرممکن می‌کند. تلگرام هنوز توضیح نداده که آیا این محدودیت در آینده برداشته خواهد شد یا خیر.

دوم، آسیب‌پذیری RCE که هم‌زمان با عرضه کشف شد. اگرچه وصله شده، اما نشان می‌دهد که اجرای کد جاوااسکریپت در محیط چت، ریسک‌های امنیتی جدی به همراه دارد. کاربران باید بات‌هایی را که ویجت ارسال می‌کنند، با احتیاط انتخاب کنند و از منابع ناشناس ویجت دریافت نکنند.

نکته سوم، محدودیت فعلی به چت خصوصی است. تا زمانی که ویجت‌ها در گروه‌ها و کانال‌ها قابل استفاده نباشند، دامنه کاربرد آن‌ها محدود خواهد بود. اما اگر تلگرام این محدودیت را بردارد، ویجت‌ها می‌توانند به ابزاری قدرتمند برای تعامل با مخاطبان در کانال‌ها تبدیل شوند.

در مجموع، ویجت‌ها یک گام مهم در جهت تبدیل تلگرام به یک پلتفرم کامل‌تر هستند. اما موفقیت آن‌ها به سه عامل بستگی دارد: رفع محدودیت ورودی کیبورد، گسترش به گروه‌ها و کانال‌ها و تضمین امنیت در برابر آسیب‌پذیری‌های مشابه.