Discord-Bot-Token: Was es ist und wie du es schützt

Glasschloss zwischen roten Seidenbändern aus Licht

Ein Bot-Token ist die geheime Zeichenkette, die beweist, dass ein Programm als bestimmter Discord-Bot handeln darf. Wer es besitzt, kann sich als Bot anmelden und alle seine Rechte nutzen. Behandle es deshalb wie ein Passwort und setze es sofort zurück, sobald es offengelegt wurde.

Was das Token ist

Wenn du im Discord-Entwicklerportal eine Anwendung anlegst und einen Bot hinzufügst, kann die Seite Bot ein Token anzeigen. Es ist eine lange Zeichenkette aus Buchstaben, Zahlen und Punkten. Der Code deines Bots sendet es, wenn er sich mit Discord verbindet, und Discord erkennt daran, welcher Bot anfragt.

Das Token ist nicht dasselbe wie die Anwendungs-ID, die öffentlich ist, und auch nicht das Client-Secret, ein anderes Geheimnis für Anmeldevorgänge.

Was ein offengelegtes Token erlaubt

Mit dem Token kann ein Fremder den Bot von seinem eigenen Rechner aus betreiben. Er kann als Bot Nachrichten senden, lesen, was der Bot sehen kann, und jedes Recht nutzen, das der Bot auf allen Servern hat, in denen er ist. Ein Bot mit Administrator oder Mitglieder bannen auf einem großen Server ist in falschen Händen ein ernstes Risiko.

Discord achtet auf solche Lecks. Wird ein Token in einem öffentlichen Code-Repository veröffentlicht, erkennt Discord das, setzt es zurück und benachrichtigt den Besitzer. Verlass dich nicht darauf, denn ein Token, das in einem privaten Chat oder auf einem Screenshot geteilt wird, wird nicht erkannt.

So schützt du ein Token

Füge es nie in einen Discord-Kanal, ein Support-Ticket, einen Screenshot oder ein öffentliches Repository ein.
Bewahre es in einer Umgebungsvariable oder einer Geheimnisdatei auf, die nicht in die Versionsverwaltung gelangt.
Gib einem Bot nur die Rechte und Intents, die er braucht, damit ein Leck weniger Schaden anrichtet.
Setze es im Entwicklerportal zurück, wenn du Zweifel hast. Das alte Token funktioniert dann sofort nicht mehr, und du trägst das neue in deine eigene Einrichtung ein.

Kein seriöser Dienst braucht dein Client-Secret. Gebraucht wird nur das Bot-Token, und zwar nur von dem Hosting, das deinen Bot betreibt.

Tokens und Noxyr

Der reguläre Noxyr-Bot braucht von dir kein Token. Du fügst ihn nur über den Einladungslink hinzu. Ein Token kommt ins Spiel, wenn du einen Custom Bot einrichtest, der die Funktionen von Noxyr unter deinem eigenen Bot-Namen und Avatar ausführt. Dafür legst du deine eigene Discord-Anwendung an und gibst Noxyr das Bot-Token, mit aktivierten Intents Server Members und Message Content. Noxyr fragt nie nach dem Client-Secret. Du kannst den Custom Bot jederzeit abschalten oder das Token entfernen, dann kehrt dein Server zum normalen Noxyr-Bot zurück.

Ein Token an einen Hoster zu geben ist eine echte Vertrauensentscheidung. Der Artikel Bot-Token an einen Hosting-Dienst geben erklärt, was du abwägen solltest. Der vollständige Leitfaden zum Bot-Token beschreibt das Zurücksetzen genauer.

Häufige Fragen

Was soll ich tun, wenn mein Bot-Token offengelegt wurde?

Öffne das Entwicklerportal, gehe zur Seite deines Bots und setze das Token sofort zurück. Aktualisiere danach alle Stellen, die das alte Token verwendet haben.

Ist das Bot-Token dasselbe wie das Client-Secret?

Nein. Es sind zwei getrennte Geheimnisse. Noxyr Custom Bots brauchen nur das Bot-Token, nie das Client-Secret.

Kann ich mein Token nach dem Verlassen der Seite wiederfinden?

Discord zeigt es nur an, wenn du es zurücksetzt oder erstellst. Wenn du es verlierst, setze es zurück, um ein neues zu bekommen.