Discord-OAuth2-Scopes: Was jeder Scope einer App erlaubt

Glasring zwischen roten Seidenbändern aus Licht

OAuth2-Scopes sind die benannten Berechtigungen, die eine App bei Discord anfragt, wenn du dich mit ihr anmeldest oder ihren Bot zu einem Server hinzufügst. Jeder Scope deckt eine Art von Zugriff ab. Discord zeigt die Liste vor deiner Zustimmung, damit du genau siehst, was du freigibst.

So funktioniert der Zustimmungsdialog

Wenn du auf einen Einladungslink oder „Mit Discord anmelden“ klickst, landest du auf einer Discord-Seite, die auflistet, was die App möchte. Die Liste stammt aus dem Teil scope des Links. Nichts wird freigegeben, bis du auf Autorisieren klickst, und die App erhält nur die angezeigten Scopes.

Die Scopes, die du am häufigsten siehst

bot: fügt den Bot-Benutzer zu einem Server deiner Wahl hinzu. Der Link kann im selben Schritt auch Berechtigungen anfragen.
applications.commands: erlaubt der App, Slash-Befehle auf dem Server zu erstellen. Ein Bot, der ohne diesen Scope eingeladen wurde, hat womöglich keine Befehle.
identify: liest deine grundlegenden Kontodaten wie ID, Nutzername und Avatar.
guilds: liest die Liste der Server, auf denen du bist, damit ein Dashboard die Server anzeigen kann, die du verwalten darfst.
email: liest deine E-Mail-Adresse, nur wenn eine App sie wirklich braucht.

Einen Bot hinzuzufügen erfordert das Recht Server verwalten auf dem gewählten Server. Die Anmeldung an einem Dashboard braucht kein solches Recht, aber das Dashboard lässt dich nur Server verwalten, auf denen du Admin bist.

Was du vor der Zustimmung prüfen solltest

Sieh dir den App-Namen und die Scope-Liste an. Eine Bot-Einladung, die Administrator verlangt, obwohl der Bot nur Musik spielt, ist ein Warnsignal. Eine Anmeldung, die mehr als identify und guilds verlangt, verdient einen zweiten Blick. Verbundene Apps kannst du später unter Benutzereinstellungen, Autorisierte Apps prüfen und entfernen. Einen Bot entfernst du, indem du ihn vom Server kickst oder unter Integrationen entfernst.

Scopes beschreiben nur, was eine App anfragen darf. Sie sind kein Weg, deine Nachrichten oder dein Passwort zu lesen, und Discord gibt einer App nie dein Passwort.

Scopes bei Noxyr

Der Einladungslink von Noxyr fragt eine feste Liste von Berechtigungen an, nicht Administrator. Was jede davon bewirkt, steht in der Berechtigungsreferenz. Die Anmeldung am Dashboard nutzt die Discord-Anmeldung. Dabei speichert die Seite deine Discord-ID, deinen Nutzernamen, Avatar und deine Sprachpräferenz, wie die Daten- und Datenschutz-Dokumentation beschreibt. Der Noxyr-MCP meldet sich ebenfalls über Discord an, siehe MCP.

Eine vollständige Erklärung eines Einladungs-URLs findest du im Artikel Einladungslinks und OAuth2-Scopes erklärt, oder du erstellst einen mit dem Einladungslink-Generator.

Häufige Fragen

Was macht der Scope applications.commands?

Er erlaubt der App, Slash-Befehle auf deinem Server zu registrieren. Ohne ihn könnte ein Bot beitreten, aber keine Befehle zeigen.

Gibt OAuth2 einer App mein Passwort?

Nein. Discord teilt dein Passwort nie. Die App erhält nur den Zugriff, der in den Scopes steht, denen du zustimmst.

Wie entferne ich eine App, die ich autorisiert habe?

Öffne Benutzereinstellungen, Autorisierte Apps und entferne sie. Um einen Bot vom Server zu entfernen, kickst du ihn oder entfernst ihn unter Integrationen.