Telegram : notifications sur les clients non officiels

Telegram alertera sur les risques des clients non officiels dans les discussions

Telegram déploie des notifications lorsque votre partenaire de discussion utilise un client non officiel. Des chaînes de caractères ont été repérées dans le code de l'application iOS officielle, qui affichent un avertissement à côté du nom de l'utilisateur : « [Nom d'utilisateur] utilise un client Telegram non officiel — les messages envoyés à cet utilisateur peuvent être moins sécurisés. » Cela sensibilise aux vulnérabilités potentielles de sécurité dans vos discussions.

Mécanisme de notification et son impact

L'avertissement est testé dans le client iOS officiel. Il apparaît dans les discussions où au moins un participant utilise une application tierce. Les experts soulignent une approche équilibrée : pas de blocage pur et simple, mais mise en évidence visuelle des risques. Il n'est pas clair si cette fonctionnalité visera tous les clients alternatifs ou seulement les plus peu fiables. L'appliquer à tous pourrait créer un encombrement visuel excessif dans l'interface.

Auparavant, les utilisateurs signalaient des réinitialisations de session dans les clients officiels, nécessitant une réauthentification et bloquant l'envoi de messages. La cause réside dans les changements fréquents d'adresse IP via des VPN ou des clients non officiels, que Telegram considère comme une activité suspecte.

Analyse de sécurité des clients alternatifs

L'étude de RKS Global a examiné huit clients Telegram populaires pour Android :

• Telegram Official
• Telegram X
• Plus Messenger
• Nekogram
• Graph Messenger
• Telega
• iMe
• F-Droid (Forkgram, Mercurygram)

Risques principaux :

• Telega, Graph Messenger et iMe envoient des données vers des serveurs russes.
• Plus Messenger, Graph Messenger et iMe intègrent Firebase Analytics ; Nekogram ne le désactive pas. Le client officiel désactive la collecte de données Google.
• Les SDK publicitaires augmentent les risques : Graph Messenger (6 SDK), iMe (15+ SDK), Plus Messenger (1 SDK). Traces de VK Group dans Telega (MyTracker, OK.ru) et iMe (ad.mail.ru).
• Telega est le plus vulnérable : le 18 mars 2026, une attaque MITM a été activée. Le trafic MTProto est redirigé via le proxy de Telega vers la Russie, interceptant toutes les données entre le client et les serveurs Telegram.

Une analyse anonyme intitulée « Analyse technique de l'attaque MITM dans le client Telega » confirme l'usurpation de serveur.

Nouveau client open source Monogram

En mars 2026, des passionnés ont publié Monogram — un client Android non officiel développé avec Kotlin, Jetpack Compose et Material Design 3. Il utilise TDLib pour la compatibilité avec le protocole Telegram. Sous licence GPLv3, le projet est en développement actif : mises à jour, refactorisations et bugs à prévoir.

Monogram met l'accent sur une interface utilisateur native et les performances, en évitant les SDK publicitaires et l'analyse externe.

Points clés

• Les notifications dans Telegram iOS signalent les utilisateurs de clients non officiels pour réduire les risques dans les discussions.
• Telega met en œuvre une attaque MITM via des proxies russes, usurpant le trafic MTProto.
• Trois des huit clients Android envoient des données vers la Russie ; la plupart intègrent Firebase.
• Les réinitialisations de session dans les clients officiels sont liées aux VPN et applications tierces.
• Monogram — une option open source sur Jetpack Compose avec TDLib, sans traqueurs.

Recommandations pour les développeurs

Lors du développement ou de la sélection de clients, vérifiez le trafic réseau pour détecter les usurpations de serveur. Utilisez des outils comme Wireshark pour analyser MTProto. Évitez les applications avec des SDK actifs (Firebase, MyTracker). Pour des solutions personnalisées, fiez-vous à TDLib comme dans Monogram, en assurant la transparence du code sur GitHub.

— Editorial Team