cheburek_ilon

Без библиотек можно и так сделать:

const input = document.querySelector('input');

input.addEventListener('input', (event) => {
  const value = event.target.value
    .replace(/^\+?[78]/, '')
    .replace(/[^0-9]/g, '')
    .slice(0, 10);
  
  event.target.value = value;
});

Я бы использовал imask.js в данном случае:

IMask(document.querySelector('input'), { mask: '000 000 00 00' });

Для данного поля реализуешь обработчик события paste для нужного поля. В нем как надо форматируешь номер телефона. И уже результат обработки вставляешь в поле.

Начать изучать вопрос можно отсюда https://learn.javascript.ru/events-change-input

espeak

Если бота сам писал, то там, где у тебя записан telegram id админа (твой), сделай список айдишников. А когда пересылаешь сообщение от пользователя, пройди по списку всех админов и перешли его каждому.
Когда один из админов ответит на сообщение, удали его у других админов.

Выбирай нормального хостера. Им нет смысла воровать твой контент. или сайт...
ты их клиент, там в договоре всё по этому поводу указано. исключение - хранение и распространение запрещенного контента, например д прно
в этом случае они скорее всего просто снимут "дамп" твоей VPS,положат на полочку если к ним будут вопросы от МВД, а тебя уведомят и заблочат.

Общий смысл - нормальному хостеру твой контент не вообще не нужен, терять репутацию... это такое себе.

более-менее защита - как уже указали - шифровать диск, но на VPS ты этого не сделаешь скорее всего.

SSH ключ - загугли. смысл в том что сервер проверяет - а тот ли ПК пытается на него залогинится(ключ собственно и проверяет), работает грубо говоря как сайт по https, когда браузер проверяет сертификат
Спасет от того - если у тебя украдут логин \ пароль

нет
для защиты надо шифровать диск
не спасет от физического доступа к серверу но сильно затруднит

Нет, конечно же.
Хостер может в любой момент сделать снапшот Вашего VPS и ковыряться в нем, как хочет и сколько хочет. Никакое шифрование ни от чего не спасет, потому что нет у Вас возможности организовать доверенную среду загрузки (то есть такую среду, где Вы могли бы быть уверенными, что ключ шифрования не уходит на сторону).

Можно.
Зависит от того как Вы разворачиваете бота. Если это докер - виртуалка должна быть KVM
Глобально медленней нет. Пинганите сервер и умножте ответ на 2. Это будет сетевая задержка

Код может работать и локально, но если вы хотите , что бы бот работал не только на вашем компьютере - необходимо разместить его на хостинге.