API توسعه‌دهندگان XPlus

POST /APIS/api_bot.php?action=create_panel

curl -X POST 'https://xplussite.ir/APIS/api_bot.php?action=create_panel' \
  -H 'X-API-Key: xplus_YOUR_KEY' \
  -H 'Content-Type: application/json' \
  -d '{
    "platform":"telegram",
    "bot_count":3,
    "days":10,
    "end_user_identifier":"user_1842",
    "allowed_domain":"example.com",
    "request_id":"create-user-1842-telegram-v1"
  }'

{
  "ok": true,
  "charged_amount": 30000,
  "panel": {
    "panel_code": "xpanel_...",
    "bot_limit": 3,
    "used_bots": 0,
    "available_bots": 3,
    "expires_at": "2026-08-07 18:00:00",
    "panel_url": "https://xplussite.ir/APIS/api_panel.php?panel_code=xpanel_..."
  }
}

ابتدا با create_panel و مقدار platform: self ظرفیت سلف بسازید. سلف پنل وب و iframe ندارد؛ ورود اکانت با API مرحله‌ای زیر انجام می‌شود و می‌توانید همین مراحل را داخل سایت، اپ یا ربات خودتان نمایش دهید.

POST /APIS/api_self.php?action=start
X-API-Key: YOUR_SERVER_SIDE_KEY
Content-Type: application/json

{
  "panel_code":"xpanel_...",
  "account_phone":"+989121234567",
  "helper_bot_token":"123456789:AA...",
  "owner_telegram_id":123456789,
  "request_id":"self-user-1842-phone-1"
}

پاسخ شامل challenge_token و وضعیت code_sent است. این توکن کوتاه‌عمر را فقط در بک‌اند همان کاربر نگه دارید و کد تلگرام را به مرحله بعد بدهید:

POST /APIS/api_self.php?action=verify_code
X-API-Key: YOUR_SERVER_SIDE_KEY
Content-Type: application/json

{"challenge_token":"...","code":"12345"}

اگر وضعیت password_required بود، رمز دومرحله‌ای را فقط برای همان درخواست ارسال کنید:

POST /APIS/api_self.php?action=verify_password
X-API-Key: YOUR_SERVER_SIDE_KEY
Content-Type: application/json

{"challenge_token":"...","password":"TELEGRAM_2FA_PASSWORD"}

وضعیت و لغو فرایند ورود:

POST /APIS/api_self.php?action=status
{"challenge_token":"..."}
POST /APIS/api_self.php?action=cancel
{"challenge_token":"..."}

GET /APIS/api_self.php?action=list&panel_code=xpanel_...

برای حذف یک سلف و آزادشدن همان ظرفیت، بدون حذف کل سرویس:

POST /APIS/api_self.php?action=delete
X-API-Key: YOUR_SERVER_SIDE_KEY
Content-Type: application/json

{"panel_code":"xpanel_...","account_phone":"+989121234567"}

POST /APIS/api_bot.php?action=extend_panel

{
  "panel_code":"xpanel_...",
  "add_bots":2,
  "add_days":20,
  "request_id":"upgrade-order-90018"
}

حداقل یکی از add_bots یا add_days باید بیشتر از صفر باشد. تعداد جدید برای تمام روزهای باقی‌مانده محاسبه می‌شود و روزهای جدید برای کل ظرفیت نهایی شارژ می‌شوند.

پس از بررسی ورود کاربر و مالکیت پنل در سایت خود، در بک‌اند با X-API-Key یک توکن پنج‌دقیقه‌ای بگیرید. کلید API هرگز وارد HTML نمی‌شود:

POST /APIS/api_bot.php?action=embed_token
X-API-Key: YOUR_SERVER_SIDE_KEY
Content-Type: application/json

{"panel_code":"xpanel_..."}

سپس مقادیر پاسخ را فقط برای همان بارگذاری صفحه در embed قرار دهید:

<div id="xplus-panel"></div>
<script src="https://xplussite.ir/embed.js"
        data-panel-code="xpanel_..."
        data-access-token="TOKEN_FROM_YOUR_BACKEND"
        data-access-expires="UNIX_TIMESTAMP"></script>

برای هر بار بارگذاری صفحه، توکن تازه بگیرید؛ پاسخ توکن را در کش عمومی ذخیره نکنید. اتصال‌های قبلی با panel_code همچنان با کنترل دامنه و اعتبار پنل پشتیبانی می‌شوند و تاریخ قطع خودکار ندارند. برای اتصال جدید از نمونه توکن‌دار بالا استفاده کنید.

GET /APIS/api_bot.php?action=panel&panel_code=xpanel_...
GET /APIS/api_bot.php?action=list_panels

هر دو درخواست به هدر X-API-Key نیاز دارند. تعداد مصرف‌شده از اکانت‌های فعال واقعی محاسبه می‌شود، نه از شمارنده‌ای که ممکن است قدیمی باشد.

DELETE /APIS/api_bot.php?action=delete_panel

{
  "panel_code":"xpanel_...",
  "request_id":"delete-order-9912"
}

سوابق مالی و مشخصات سفارش برای گزارش ادمین باقی می‌ماند، اما سشن و دسترسی عملیاتی پاک می‌شود.

• API Key فقط روی سرور توسعه‌دهنده نگهداری شود.
• برای هر کاربر نهایی شناسه‌ای ثابت ارسال کنید؛ شماره تلفن اجباری نیست.
• هر پنل یک scope تصادفی مستقل دارد و هیچ query با شناسه خام کاربر بین توسعه‌دهندگان مشترک نیست.
• هر عملیات مالی داخل تراکنش دیتابیس و با قفل پنل/کیف پول انجام می‌شود.
• request_id از دوبار شارژشدن در retry جلوگیری می‌کند.
• برای جلوگیری از کپی iframe، allowed_domain را تنظیم کنید.

برای ساخت پنل، platform را instagram بفرستید. ساخت، تمدید، حذف و اتصال iframe مانند پنل‌های دیگر است؛ سپس مشتری از داخل iframe همان پنل، اتصال مجاز را انجام می‌دهد؛ اتصال مستقیم آزمایشی نیازمند پذیرش هشدار خطر است و اتصال رسمی ویژه حساب Business یا Creator است. رمز و کد در سرور نماینده جمع‌آوری نشوند؛ در پنل ایکس‌پلاس فقط برای همان مرحله ورود در حافظه استفاده می‌شوند. نشست غیررسمی یا توکن رسمی جداگانه رمزگذاری می‌شود و حساب فقط به scope همان مشتری تعلق دارد.

خرید عمومی پس از تنظیم Meta App و تأیید مجوزهای لازم فعال می‌شود؛ پاسخ instagram_not_configured یعنی سرویس آماده نیست و هزینه‌ای کسر نشده است. فعال‌شدن ورود مستقیم آزمایشی، خرید جدید یا ایجاد پنل عمومی را باز نمی‌کند. امکانات اتصال رسمی به مجوزهای Meta وابسته‌اند؛ روش مستقیم پاسخ فوری کامنتر را تضمین نمی‌کند و با خطای محدودیت یا امنیتی متوقف می‌شود. در روش رسمی، ارسال آزاد به همه فالوورها، لایک و فالو خودکار یا گروه‌های دایرکت ارائه نمی‌شوند. در رد درخواست یا تأیید امنیتی، عملیات همان اتصال متوقف می‌شود؛ هیچ تضمین مصونیت حساب از محدودیت داده نمی‌شود. کلید Developer API فقط در سرور نماینده نگهداری شود.