Секреты бота находятся на сервере. Клиент отправляет init_data только для верификации на сервере.