Discord bot token: co to je a jak ho chránit

Skleněný zámek mezi červenými hedvábnými stužkami světla

Bot token je tajný řetězec, který dokazuje, že program smí jednat jako konkrétní Discord bot. Kdo ho má, může se jako bot přihlásit a použít všechna jeho oprávnění, takže s ním zacházejte jako s heslem a jakmile unikne, okamžitě ho resetujte.

Co token je

Když vytvoříte aplikaci v Discord Developer Portalu a přidáte k ní bota, stránka Bot může token zobrazit. Je to dlouhý řetězec písmen, čísel a teček. Kód vašeho bota ho posílá při připojení k Discordu a Discord podle něj pozná, který bot volá.

Token není totéž co application ID, které je veřejné, ani client secret, což je jiný tajný údaj pro přihlašovací toky.

Co unikající token umožní

Cizí člověk s tokenem může bota spustit na svém počítači. Může jeho jménem posílat zprávy, číst, co bot vidí, a používat každé jeho oprávnění na každém serveru, kde je. Bot s oprávněním Administrator nebo Ban Members ve velkém serveru je ve špatných rukou vážné riziko.

Discord úniky sleduje. Pokud se token zveřejní v veřejném repozitáři s kódem, Discord ho zjistí, resetuje a informuje majitele. Nespoléhejte na to, protože token sdílený v soukromém chatu nebo na screenshotu se nezachytí.

Jak token chránit

Nikdy ho nevkládejte do kanálu na Discordu, do podpůrného ticketu, na screenshot ani do veřejného repozitáře.
Uložte ho do proměnné prostředí nebo do souboru se secrets, který se necommituje do verzovacího systému.
Dávejte botovi jen oprávnění a intenty, které potřebuje, aby únik způsobil menší škodu.
Máte-li jakoukoli pochybnost, resetujte ho v Developer Portalu. Reset okamžitě vyřadí starý token a vy pak ve svém nastavení použijete nový.

Žádná legitimní služba nepotřebuje váš client secret. Potřebný je jen token bota a jen pro hosting, který váš bot spouští.

Tokeny a Noxyr

Běžný bot Noxyr od vás token nepotřebuje. Přidáte ho jen pozvánkou. Token přichází na řadu, když nastavujete vlastního bota, který běží funkce Noxyr pod vaším jménem a avatarem. Pro něj vytvoříte vlastní Discord aplikaci a Noxyru předáte token bota, se zapnutými intenty Server Members a Message Content. Noxyr nikdy nežádá client secret a vlastního bota můžete kdykoli vypnout nebo odstranit token, což vrátí váš server k běžnému botovi Noxyr.

Předat token hostingu je vážné rozhodnutí o důvěře. Článek o předání tokenu bota hostingové službě vysvětluje, co zvážit. Podrobnější návod k resetům najdete v průvodci tokenem bota.

Časté otázky

Co mám dělat, když unikne token bota?

V Developer Portalu otevřete stránku svého bota a token okamžitě resetujte. Pak aktualizujte všechna místa, kde byl použit starý token.

Je token bota totéž co client secret?

Ne. Jsou to oddělené tajné údaje. Vlastní boti Noxyr potřebují jen token bota, client secret nikdy.

Mohu token najít znovu poté, co odejdu ze stránky?

Discord ho zobrazí jen při resetu nebo vytvoření. Když ho ztratíte, resetujte ho a získejte nový.