A conta do Telegram não fica presa a um único celular. O mesmo login pode estar aberto, ao mesmo tempo, no telefone, no computador do trabalho, num navegador esquecido e até numa ferramenta que você conectou há meses e nem lembra mais. Cada um desses acessos é uma sessão ativa, e todas têm o mesmo poder: ler conversas, mandar mensagens, administrar canais e grupos.
Por isso, a tela de sessões é uma das mais importantes do aplicativo e uma das menos visitadas. Ela responde de forma direta a perguntas como: alguém mais está usando a minha conta? Aquele computador que eu usei uma vez continua logado? Um serviço que eu testei ainda tem acesso? A seguir está o caminho para conferir, como encerrar o que não reconhece e o que configurar para o problema não voltar.
Onde ficam as sessões ativas no Telegram
No aplicativo de celular, abra Configurações e toque em Dispositivos. No Telegram Desktop, o caminho é parecido: Configurações, depois Privacidade e segurança, e a área de sessões ativas. O nome exato pode variar um pouco conforme a versão e o sistema, mas a tela é sempre a mesma lista de aparelhos conectados.
No topo aparece o dispositivo atual, aquele que você está segurando. Abaixo vem a lista das outras sessões, cada uma com informações que ajudam a identificar de onde ela vem:
- Aplicativo e versão, por exemplo Telegram para Android, Telegram Desktop, Telegram Web ou um cliente de terceiros.
- Modelo do aparelho ou sistema, como um modelo de celular, Windows, macOS ou um navegador.
- Localização aproximada, calculada pelo endereço IP da conexão.
- Última atividade, que mostra se a sessão está em uso agora ou parada há semanas.
Tocar em uma sessão abre os detalhes e o botão para encerrá-la.
Como ler a lista sem cair em falso alarme
Nem toda linha estranha significa invasão. Antes de entrar em pânico, vale entender três detalhes que confundem muita gente.
A cidade pode estar errada
A localização vem do IP, não do GPS. Operadoras de celular costumam rotear o tráfego por outras cidades, e VPNs mostram o país do servidor. Ver São Paulo quando você está no interior, ou outro estado inteiro, é comum e não prova nada sozinho. O que pesa mais é a combinação: aparelho que você não tem, aplicativo que você não usa e atividade recente.
Sessões antigas ficam paradas por muito tempo
Um navegador onde você abriu o Telegram Web uma vez, um notebook vendido, um celular antigo guardado na gaveta. Essas sessões continuam na lista até alguém encerrá-las ou até o prazo de encerramento automático vencer. Se a última atividade é de meses atrás, provavelmente é só esquecimento, mas continua sendo uma porta aberta.
Ferramentas que entram com a sua conta aparecem como sessão
Qualquer serviço que se conecta usando o seu login, e não apenas um bot, cria uma sessão própria. Clientes alternativos, painéis de automação e programas de backup entram nessa categoria. Bots criados no BotFather são diferentes: eles têm token próprio e não aparecem como dispositivo seu. Se você entregou o login a um serviço, ele deve estar na lista, e é justamente aqui que dá para revogar esse acesso quando não fizer mais sentido.
Como encerrar uma sessão que você não reconhece
O processo leva poucos segundos:
- Abra Configurações e depois Dispositivos.
- Toque na sessão suspeita para ver os detalhes.
- Escolha Encerrar sessão e confirme.
Se a lista estiver cheia ou houver mais de uma sessão desconhecida, use Encerrar todas as outras sessões. Essa opção derruba tudo, menos o aparelho que você está usando. Depois será preciso entrar de novo nos seus outros dispositivos legítimos, o que é um preço pequeno pela tranquilidade.
Um detalhe de segurança: o Telegram pode impedir que um aparelho que acabou de fazer login encerre sessões mais antigas durante algumas horas. A regra existe para que alguém que acabou de invadir a conta não consiga expulsar o dono. Se a opção aparecer bloqueada, faça o encerramento a partir de um aparelho que já está logado há mais tempo, ou aguarde o prazo indicado na tela.
O que fazer logo depois de derrubar um acesso estranho
Encerrar a sessão resolve o acesso de agora, mas não fecha o caminho que permitiu a entrada. Siga esta sequência no mesmo dia.
Ative ou troque a verificação em duas etapas
Em Privacidade e segurança, a verificação em duas etapas cria uma senha pedida em todo login novo, além do código. Sem ela, quem conseguir o código de acesso entra direto. Se você já tinha a senha, troque por uma nova que não use em nenhum outro lugar e confira se o e-mail de recuperação cadastrado é seu. Se tiver dúvida sobre a senha antiga, veja o guia sobre senha da verificação em duas etapas.
Descubra por onde a pessoa entrou
Os caminhos mais comuns são bem conhecidos. Alguém pediu o código de login por mensagem fingindo ser suporte, sorteio ou comprador. Alguém mandou um QR Code para você escanear, que na verdade era a tela de vincular um computador à sua conta. Ou um serviço pediu o seu login para clonar canal, adicionar membros ou entregar engajamento, e guardou esse acesso. Sobre esse último caso, vale ler sobre os riscos de entregar a sessão da sua conta.
Confira canais, grupos e bots que você administra
Quem esteve dentro da conta pode ter mudado coisas. Revise a lista de administradores dos seus canais e grupos, as permissões de cada um, os links de convite e o dono dos bots no BotFather. Se perdeu o controle de um canal, o roteiro de como recuperar um canal invadido mostra o que ainda dá para fazer.
Leia as mensagens de serviço do Telegram
Todo login novo gera um aviso na conversa oficial de notificações do Telegram, com aparelho e local aproximado. Rolar esse histórico ajuda a descobrir quando a entrada aconteceu e se houve mais de uma tentativa.
Configurações que evitam o problema
Depois da limpeza, três ajustes reduzem bastante a chance de repetir a situação.
- Encerramento automático de sessões inativas. Na própria tela de Dispositivos existe a opção de encerrar sozinhas as sessões paradas por um período, como uma semana, um mês ou seis meses. Quanto menor o prazo, menos acessos esquecidos ficam abertos.
- Senha de duas etapas sempre ligada. É a barreira que mais impede invasão por código vazado.
- Revisão periódica. Abrir a lista de dispositivos uma vez por mês e encerrar o que não está em uso é um hábito de dois minutos.
Também ajuda nunca repassar o código de login a ninguém, por nenhum motivo. O Telegram não pede esse código por mensagem, e nenhum suporte legítimo precisa dele.
Quem administra canal ou usa várias contas precisa redobrar o cuidado
Para quem só conversa com amigos, uma sessão estranha é um susto. Para quem administra canal com milhares de inscritos, grupo de clientes ou operação com várias contas, ela pode significar perder o canal, ter mensagens apagadas ou ver golpes enviados em seu nome para toda a base.
Nesses casos, a regra prática é separar acessos. Cada pessoa da equipe com a própria conta e permissões de administrador limitadas ao necessário, em vez de todo mundo usando o mesmo login. Ferramentas conectadas só quando há motivo claro, e revogadas assim que deixam de ser usadas. Se você mantém mais de uma conta no mesmo aparelho, o texto sobre várias contas no mesmo celular explica os limites e os riscos de misturar tudo.
Resumo rápido
- Abra Configurações e depois Dispositivos.
- Identifique cada sessão pelo aplicativo, aparelho e última atividade, sem confiar só na cidade.
- Encerre o que não reconhece ou use Encerrar todas as outras sessões.
- Ative ou troque a senha de duas etapas e confira o e-mail de recuperação.
- Revise administradores, convites e bots dos seus canais e grupos.
- Ligue o encerramento automático de sessões inativas e revise a lista todo mês.
A tela de sessões é a forma mais simples de saber quem tem acesso à sua conta. Visitá-la de vez em quando custa pouco e evita a maior parte das dores de cabeça com invasão.