2 min čtení
Autor: Mike
Webhook na Discordu: co je a jak ho chránit
Webhook na Discordu je soukromá URL, která vnější aplikaci umožní posílat zprávy do jednoho kanálu bez účtu bota. Každý, kdo URL má, do kanálu může psát, takže odkaz na webhook je třeba chránit stejně pečlivě jako heslo.
Co webhook dělá
Webhook vytvoříte v Nastavení kanálu, Integrace. Discord vám dá URL, která obsahuje ID webhooku a tajný token. Když jiný program pošle zprávu na tuto URL, Discord ji zveřejní v kanálu pod jménem a avatarem webhooku. Není potřeba žádné přihlášení ani bot, kterého byste museli pozvat.
Díky tomu jsou webhooky nejjednodušším způsobem, jak připojit externí služby: hostingová platforma oznamující commit, obchod posílající zprávu o slevě, stavová stránka hlásící výpadek, čtečka RSS sdílející nové články.
Co webhook neumí
Webhook umí jen posílat. Nečte zprávy, nereaguje na příkazy, nevidí členy a nespravuje role. Pro cokoli interaktivního potřebujete bota, který používá příkazy lomítko nebo tlačítka. Webhook také posílá jen do jednoho kanálu, i když může psát do vláken v tomto kanálu.
Zprávy z webhooku mohou obsahovat embedy, soubory a vlastní uživatelské jméno a stejně jako vše ostatní podléhají Discordu limitům rychlosti.
Proč musí URL zůstat soukromá
Token uvnitř URL je jedinou ochranou. Pokud unikne, cizí člověk může psát do vašeho kanálu, označovat lidi a posílat přesvědčivá falešná oznámení. Discord nedokáže rozlišit vás od něj.
- Nikdy nevkládejte URL webhooku do veřejného kanálu, vlákna podpory ani na snímek obrazovky.
- Každá integrace ať má vlastní webhook, abyste mohli jeden odstranit, aniž byste rozbili ostatní.
- Pokud URL unikne, webhook v Nastavení kanálu, Integrace odstraňte a vytvořte nový. Smazání okamžitě přeruší starý odkaz.
- Seznam čas od času zkontrolujte. Každý webhook, který nepoznáváte, by měl zmizet.
Oprávnění Spravovat webhooky udělujte jen lidem, kterým důvěřujete. Kdokoli, kdo jej má, může vytvořit webhook a psát pod jakýmkoli jménem.
Webhooky a Noxyr
Kontrola zdraví serveru v Noxyru se při výpočtu bezpečnostního skóre z 100 dívá mimo jiné na webhooky na serveru, dále na oprávnění pro @everyone a na počet rolí se oprávněním Správce. Skóre a opravy popisuje dokumentace k ochraně. Noxyr sám píše přes bota, ne přes webhooky, které byste museli vytvářet.
Chcete-li vědět, co se ve vašich kanálech děje, podívejte se na serverové logy. Širší pohled na zamknutí serveru najdete na stránce bezpečnostní bot.
Časté otázky
K čemu se používá webhook na Discordu?
K posílání zpráv do kanálu z jiné služby, například stavové stránky, obchodu nebo hostingu kódu, bez provozování bota.
Je URL webhooku tajná?
Ano. Každý, kdo URL má, může do kanálu psát. Pokud unikne, webhook smažte a vytvořte nový.
Může webhook číst zprávy nebo spouštět příkazy?
Ne. Webhook jen posílá zprávy. Pro příkazy a tlačítka potřebujete bota.
