Telegram Bot Webhook + VPS + Nginx + SSL: покрокове production-розгортання

Спочатку приведіть сервер у стан, у якому нормально працюють випуск сертифіката й reverse proxy.

Випустіть сертифікат до того, як переведете webhook на фінальний HTTPS-маршрут.

Зробіть один HTTP server block для редіректу і один HTTPS server block для фінального reverse proxy. До локального процесу бота проксіюйте лише webhook-шлях [4][5][6].

Використовуйте конфіг такого типу:

server {
    listen 80;
    listen [::]:80;
    server_name bot.example.com;

    location / {
        return 301 https://$host$request_uri;
    }
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name bot.example.com;

    ssl_certificate /etc/letsencrypt/live/bot.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/bot.example.com/privkey.pem;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    client_max_body_size 20m;

    location = /healthz {
        add_header Content-Type text/plain;
        return 200 "ok\n";
    }

    location /telegram/webhook {
        proxy_pass http://127.0.0.1:3000/telegram/webhook;
        proxy_http_version 1.1;
        proxy_connect_timeout 5s;
        proxy_read_timeout 60s;
        proxy_send_timeout 60s;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    location / {
        return 404;
    }
}

Після збереження конфігурації перезавантажте Nginx. Сам бот лишається приватним на 127.0.0.1, а Telegram бачить тільки HTTPS-маршрут, який публікує Nginx.

Реєструйте фінальну публічну HTTPS-адресу лише після того, як Nginx і SSL уже працюють. Передайте secret_token і перевіряйте його в застосунку через заголовок X-Telegram-Bot-Api-Secret-Token [1].

Зареєструйте webhook:

curl -X POST "https://api.telegram.org/bot$BOT_TOKEN/setWebhook"   -d "url=https://bot.example.com/telegram/webhook"   -d "secret_token=replace_with_a_long_random_value"   -d 'allowed_updates=["message","callback_query"]'

Після цього перевірте стан:

curl "https://api.telegram.org/bot$BOT_TOKEN/getWebhookInfo"

Через allowed_updates обмежте доставку лише тими типами оновлень, які бот реально обробляє. Якщо доставка зламалась, читайте pending_update_count і останню помилку в getWebhookInfo [1].

Після реєстрації webhook пройдіться цим списком перевірок.

Більшість проблем із webhook виникає через кілька повторюваних помилок.

Ці джерела підтверджують поведінку Telegram webhook, схему Nginx reverse proxy, логіку SSL і firewall-налаштування, використані в цьому туторіалі.

PAS7 Studio допомагає розгортати Telegram-ботів із нормальним webhook-routing, reverse proxy, автоматичним оновленням сертифікатів, керуванням процесом застосунку, міграцією з polling і production-hardening усього стеку.