20万人超级群组运营大师课：100点安全审计、所有权继承与置顶公告架构

所有者是单点故障

每个大型群组顶端都只有一个账号。它可以转移群组、删除群组，并移除任何人，包括管理员。任何管理员组合都无法取代它，也没有任何客服流程能恢复它。

这意味着一个四万人的社群依赖于一个人不丢失手机号、不忘记密码、不消失。大多数社群从未想过这一点，而那些意识到这一点的社群，往往是在最糟糕的时刻才发现的。

两项准备工作能带来天壤之别，而两者都只需几分钟。

两步验证，并配置一个已确认的恢复地址。 步骤 008 和步骤 036 讲的是具体机制。对所有者而言，这不再是一项个人安全设置，而变成对群组里每个人的义务。

现在就设置好，不要等到需要时才做。 转移所有权要求该保护措施已经启用一段时间——大约一周——并且要求你用于转移的设备已经登录约一天。这些延迟的存在，是为了防止刚刚接管某个账号的人立刻带着社群跑路。对合法所有者来说，后果就是转移无法在一个下午内安排妥当，而准备的时间应该远早于出现理由之前。

哪些会转移，哪些会悄悄留下

人们以为交接会转移附着在社群上的一切。实际上它转移的是这个群组本身，而好几样感觉像是群组一部分的东西，会原封不动地留在原地。

最后三行正是交接在几个月后出问题的地方。新所有者会发现欢迎机器人无法重新配置，频道下的讨论群组仍然听命于某个已经离开的人，而且没人能添加贴纸。这些在当天都不紧急，但事后若没有前一位所有者的配合，全都无法修复。

群组规模扩大时真正会变化的东西

关于规模，有意思的一点是：真正咬人的并不是技术限制。一个二十万人的群组，在应用所控制的每一个方面，其表现都和一个两千人的群组一样。变化的是人。

你不再知道群里都有谁。 在几百人以下，成员名单是一个个具体的人。超过几千人后，它就只是一个数字，而你过去靠认人来做的每一个判断，都必须变成规则。这才是大型群组需要步骤 058 的权限和步骤 059 的日志的真正原因——不是因为平台要求，而是因为你的记忆已经不再能充当管理工具了。

一个人某晚心情不好，会变成每天都会发生的事。 在一百人时，有人闹事只是偶尔发生。在五万人时，同样的比例每天都会产生好几起，而建立在逐一亲自处理之上的管理方式会彻底崩溃。能够规模化的工具是那些无需做决定的工具：步骤 060 的间隔限制、对成员可发布内容的限制、步骤 064 的准入关卡。

沉默成为常态。 随着群组扩大，发言成员的比例会下降，在大型规模下几乎没人发言。这不是失败，值得这样告诉自己，因为人的本能是去催促、多发帖、追问为什么这么安静——而这些只会让情况更糟。

公告不再被阅读。 步骤 047 的置顶栏是唯一持久的展示面，而它只有在简短时才有效。在大型规模下，任何不在置顶索引或简介里的内容，对于在其发布之后才加入的人来说，实际上等于不存在。

建立能让你离开后仍存续的东西

本模块的收官问题不是如何保护一个群组。而是当你停下来时，这个群组是否还能继续。

不止一个人拥有真正的权力。 不是一长串人——而是两三个能够行动的人，选择标准是可用性，而不是作为奖励。步骤 058 的副手安排正是为此而设，而唯一被保留不给的权限正是保证其安全的关键。

在 Telegram 之外的某个地方写下来。 哪个账号拥有什么、存在哪些机器人以及由谁运行、贴纸包放在哪里、哪些链接发布在哪里。共享文档里的一页。每个社群都会在某人联系不上的那一天发现，自己需要这个。

对“如果你消失了怎么办”有一个商定的答案。 对于一个对人们很重要的社群，这是一场趁它还只是假设时就该进行的对话。技术部分就是上面那一周的准备工作；其余部分则是弄清楚谁会想要它，以及他们是否会接受。

关于运营大型群组的这个模块，最后说一句实话：大多数社群不是败于管理。 它们失败，是因为把大家凝聚在一起的那个人累了，而没有任何东西被建立起来，能在没有他的情况下继续。过去十二个步骤里的每一项设置，都比不上另一个能替你干活的人。

现在就试试——五分钟

四个步骤，而第一步必须在其他任何一步之前完成。

1. 如果所有者账号还没有开启两步验证，就开启它 并配置一个已确认的恢复地址。这既是步骤 008 中的账号保护，也是将来能够转移群组的前提条件。
2. 写下清单 哪个账号拥有群组、关联频道、每个机器人和贴纸包。十行字，放在 Telegram 之外的某个地方。
3. 指定第二个能够行动的人 并授予他们步骤 058 中的副手权限——除添加管理员的能力之外的一切权限。
4. 数一数这一周有多少人说过话 不是成员数。是人。这个数字就是群组的健康度，而它是没人追踪的那一个。

有意关闭一个群组

所有者保留的另一项操作是删除，值得把它与人们容易混淆的另外两件事区分开来。

退出 会移除你，并让群组在没有所有者的情况下继续运行，这就是上文所述的缓慢失败，而不是一个终结。 删除 会为所有人移除该群组：历史记录消失，成员被遣散，且无法恢复。

如果一个社群确实已经走到尽头，体贴的做法不是删除。宣布它即将关闭，给大家一周时间，然后要么把它交给想要它的人，要么用步骤 060 的间隔限制把它设为只读——这样既能让依赖它的人继续搜索存档，又能停止新的活动。 公开用户名应当单独考虑，因为释放它会把所有现有链接交到下一个认领它的人手里。

当内容不应继续留存时，删除才是正确答案，这是一个真实的理由，而且比“我们不再用它了”要狭窄得多。

这个阶段的常见问题