Ano, předat token Discord bota hostingové službě je bezpečné, pokud ho hosting ukládá zašifrovaný, po vložení vám ho nikdy nezobrazí zpět a umožňuje vám okamžitě odebrat jeho přístup resetováním tokenu ve Vývojářském portálu. Ten reset je skutečná bezpečnostní síť. Je důležitější než slepá důvěra hostingu, protože funguje bez ohledu na to, kdo token drží.
Co token bota ve skutečnosti umožňuje
Token je to, jak se kód přihlásí jako váš bot a ověří své požadavky na API. Kdo ho má, může psát zprávy, číst, co bot vidí, a provádět jakoukoli akci, kterou jeho oprávnění dovolují, na každém serveru, ke kterému se bot už připojil. Co neumí, je přidat bota na nový server. K tomu je třeba samostatný odkaz na pozvání OAuth2 a schválení od administrátora serveru. Uniklý nebo zneužitý token je skutečný problém na serverech, kde bot už je, ale není to hlavní klíč k celé vaší přítomnosti na Discordu.
Skutečné riziko není to předání, ale to, jak se token ukládá potom
Vložit token do políčka dashboardu hostingového poskytovatele přes HTTPS se zásadně neliší od vložení hesla do jakéhokoli přihlašovacího formuláře. Opravdu důležité je, co se s ním děje potom: je uložený v čitelné podobě někde, kam by se dostal chybou nebo nedbalým zaměstnancem? Objeví se v logech? Může ho podpora dohledat a zobrazit? To jsou otázky uložení a zacházení, ne otázky samotného sdílení.
Co by měl důvěryhodný hosting dělat
- Ukládat ho šifrovaně (encrypted at rest), ne jako prostý text ve sloupci databáze, který by mohl zkopírovat kdokoli s přístupem pro čtení.
- Nikdy vám ho nezobrazovat zpět poté, co jednou uložíte, stejně jako políčko pro heslo neukazuje, co jste napsali.
- Přijímat ho jen přes HTTPS ve vlastním dashboardu, nikdy přes zprávu nebo e-mail.
- Umožnit vám token kdykoli resetovat nebo smazat bez nutnosti žádat o to podporu.
- Skutečně ho smazat ze své databáze, když bota odeberete nebo zavřete účet, a ne jen přestat používat.
Váš skutečný vypínač: reset tokenu
Tato část je univerzální chování Discordu, ne něco, co by ovládal jednotlivý hosting. Stisknutí Resetovat token ve Vývojářském portálu okamžitě zneplatní starý token všude, kde se používal. Váš vlastní kód, hostingový poskytovatel nebo kdokoli, kdo se k němu dostal bez oprávnění, se při dalším pokusu o připojení odpojí a se starou hodnotou se znovu nepřihlásí. Proto předání tokenu renomovanému hostingu nese menší riziko, než se může zdát: nejste nikdy skutečně uvězněni, můžete jim přístup ukončit během několika sekund, kdykoli a z jakéhokoli důvodu.
Jak to řeší Noxyr, jako jeden příklad
Funkce Custom Bot v Noxyru žádá token, aby mohla běžet s celou sadou funkcí pod jménem vašeho vlastního bota. Je uložený šifrovaně, dešifrovat ho může jen web a konkrétní hostingový uzel, který váš bot provozuje, a po vložení se vám ani nikomu jinému nikdy nezobrazí zpět. Měnit ho může jen osoba, která token původně vložila. Ostatní administrátoři na stejném serveru vidí stav bota, ale nemohou pod vaším jménem nahradit jiného. Smazání vašeho custom bota odstraní uložený token úplně. Pokud chcete odejít, resetování tokenu ve Vývojářském portálu ho odpojí okamžitě, stejně jako u jakéhokoli jiného hostingu.
Co když hosting ukončí provoz nebo bude napaden tak či onak?
I hosting, který dělá všechno správně, může jednou mít špatný den. Server může být napaden, firma může bez varování skončit. Stejný reset, který vám umožní odejít dobrovolně, vás chrání i tady: jakmile máte jakýkoli důvod se domnívat, že databáze hostingu byla vystavena, resetujte token dřív, než budete čekat na jejich vyhodnocení. Únik šifrovaného tokenu, který během několika minut zneplatníte, je mnohem menší incident než stejný únik u tokenu, který nikdo neobměňuje.
Varovné signály, u kterých je lepší odejít
- Žádá, abyste token vložili do zprávy na Discordu nebo do chatu podpory místo řádného formuláře v dashboardu.
- Nedává vám možnost token sami resetovat, nahradit nebo smazat.
- Formulář pro vložení běží přes prostý HTTP místo HTTPS.
- Je nejasné, kdo další v jejich týmu může uložené tokeny vidět.
- Žádá vaše osobní heslo k účtu na Discordu místo tokenu bota nebo vedle něj. Žádná legitimní hostingová služba to nikdy nepotřebuje.
Časté otázky
Může hosting ukrást servery mého bota? Ne. Token nemůže bota pozvat kamkoli nového. To vždy vyžaduje samostatný postup OAuth2 a administrátora, který klikne na Autorizovat.
Můžu si bota vzít zpět, když jsem ho svěřil hostingu? Ano. Resetujte token ve Vývojářském portálu a přístup hostingu okamžitě skončí. Není třeba je nejdřív žádat, aby cokoli smazali.
Chrání dvoufázové ověření na mém účtu Discordu token? Ne. Token bota je samostatný přihlašovací údaj oddělený od vašeho přihlášení. Jediná kontrola, na které tady skutečně záleží, je jeho reset.
Je vlastní hosting ze své podstaty bezpečnější než používání hostingu? Automaticky ne. Uniklý token z vašeho vlastního serveru je stejně nebezpečný jako token uniklý z databáze hostingu. Bezpečnost pochází ze šifrování a zacházení, ne z toho, kdo proces provozuje.
Co mám dělat, když si myslím, že token už unikl? Okamžitě ho resetujte, dřív než cokoli dalšího zkoumáte. Je to nejrychlejší způsob, jak odříznout toho, kdo ho má, bez ohledu na to, odkud ho získal.
Úplný návod, jak token vygenerovat a resetovat, najdete v našem průvodci tokenem Discord bota. Přesný popis fungování nastavení v Noxyru je v dokumentaci k Custom Bot.