El token de un bot de Discord es la contraseña de la cuenta del bot: quien lo tenga puede iniciar sesión con ese bot en Discord y hacer que haga todo lo que permitan sus permisos, en cada servidor en el que ya esté. Lo obtienes gratis en el Portal para desarrolladores de Discord al crear una aplicación de bot. Trátalo como una contraseña, porque eso es exactamente lo que es. No es un identificador público como el ID de usuario del bot o un enlace de invitación.
Cómo obtener el token de un bot de Discord
- Abre el Portal para desarrolladores. Ve a discord.com/developers/applications e inicia sesión con la cuenta de Discord que debe ser la propietaria del bot.
- Crea una aplicación. Pulsa Nueva aplicación y ponle un nombre. Este nombre todavía no es el nombre visible del bot, solo el de la aplicación.
- Abre la pestaña Bot. Discord añade automáticamente un usuario de bot a la aplicación. Aquí defines su nombre de usuario y su avatar, que es lo que verán los miembros en el servidor.
- Activa los intents que necesites. En Intents privilegiados de Gateway, el Intent de miembros del servidor y el Intent de contenido de mensajes vienen desactivados por defecto. La mayoría de los bots que dan la bienvenida a nuevos miembros, leen el texto de los mensajes o siguen los roles necesitan activar los dos.
- Pulsa Restablecer token. Discord genera el token y te lo muestra una sola vez. Cópialo de inmediato, porque no hay forma de volver a ver el mismo token más tarde. Si pulsas Restablecer token otra vez, el primero deja de funcionar y se emite uno nuevo.
- Pégalo donde haga falta. En el código de tu bot como variable de entorno, o en el campo del panel de tu proveedor de alojamiento. Nunca en un mensaje de chat, un repositorio público ni un ticket de soporte.
Lo que concede realmente el token de un bot
El token es la forma en que el código se autentica como usuario del bot ante el gateway y la API REST de Discord. Con un token válido, el código puede:
- Iniciar sesión con el bot y mantenerlo en línea
- Enviar y leer mensajes en cualquier canal que el bot pueda ver
- Realizar cualquier acción que permitan los permisos del rol del bot en cada servidor en el que ya está: gestionar roles, expulsar, banear, borrar canales, etc.
- Leer los mensajes directos del propio bot y responder a interacciones (comandos de barra, botones, modales)
Lo que no concede es la capacidad de añadir el bot a servidores nuevos. Invitar a un bot requiere un enlace de autorización OAuth2 aparte, creado a partir del ID de cliente de la aplicación y de un conjunto de permisos elegido, que un administrador del servidor debe aprobar. Un token filtrado no sirve para invitar el bot a ningún sitio nuevo, pero sí puede causar daños reales en cada servidor en el que el bot ya está, hasta el límite de los permisos que tenga allí.
Por qué nunca debes pegar el token de un bot en un chat
El token de un bot es una credencial en texto plano sin caducidad integrada. Cualquiera que lo tenga puede ejecutar su propia copia de la identidad de tu bot hasta que restablezcas el token, incluso en servidores de soporte de Discord, incidencias de GitHub o capturas de pantalla compartidas en las que aparezca aunque sea un instante. Pegarlo en público, por ejemplo en un commit de GitHub, hace que Discord lo trate como una credencial filtrada, y es una forma habitual de secuestrar bots para enviar spam a todos los servidores en los que están. No hay forma de saber después quién usó un token filtrado ni qué hizo con él. La única solución es restablecerlo.
La misma precaución se aplica a compartir el token con un proveedor de alojamiento. Pégalo solo en el campo del panel del propio proveedor, por HTTPS. Nunca en un mensaje a una persona, por confiable que sea, ni en un informe de error.
Restablecer un token revoca el acceso al instante
Pulsar Restablecer token en el Portal para desarrolladores invalida de inmediato el token antiguo. Cada proceso que aún lo use, tu propio código, un proveedor de alojamiento o cualquiera que lo haya obtenido sin permiso, se desconecta en su siguiente intento de reconexión y no puede volver a iniciar sesión con el valor antiguo. Este es el mecanismo que hay detrás de dos cosas que conviene saber:
- Es tu interruptor de emergencia. Si sospechas que un token se ha filtrado, restablécelo antes de hacer nada más. El bot se desconecta para quien tenga el token antiguo y solo vuelve a estar en línea donde se introduzca el nuevo.
- También sirve para cambiar de proveedor. ¿Entregaste tu token a un servicio de alojamiento y quieres irte? Restablece el token en el Portal para desarrolladores y su acceso termina de inmediato, sin necesidad de pedirles que borren nada.
Un bot desconectado por un token restablecido suele mostrar en sus registros el código de cierre de gateway 4004 (token no válido). Es la forma en que Discord indica que la credencial que intentó usar ya no existe.
Cómo guarda Noxyr tu token
Noxyr solo pide un token de bot para su función Custom Bot, donde ejecutas el conjunto completo de funciones de Noxyr con el nombre y el avatar de tu propio bot. El token se almacena cifrado, se usa únicamente para iniciar sesión de tu bot en el gateway de Discord, y nunca se vuelve a mostrar ni a ti ni a nadie después de pegarlo. Si alguna vez quieres cortar el acceso, restablece el token en el Portal para desarrolladores de la misma forma que se describió antes. El bot de Noxyr se desconecta en cuanto lo hagas, igual que cualquier otro cliente que use el token antiguo. Los pasos completos de configuración, los intents necesarios y el modelo de acceso gratuito por voto en Top.gg están en la documentación de Custom Bot y en nuestra guía de configuración de Custom Bot.
Preguntas frecuentes
¿Dónde encuentro el token de mi bot de Discord? En el Portal para desarrolladores: tu aplicación, pestaña Bot, Restablecer token. Se muestra una sola vez, en el momento de generarlo. No hay ninguna página que vuelva a mostrar un token existente.
¿Es seguro compartir el token de un bot? No. Compartirlo, incluso en privado, da a esa persona control total del bot en todos los servidores en los que esté. Introdúcelo solo en tu propio código o en el campo del panel de tu proveedor de alojamiento.
¿Qué pasa si restablezco el token de mi bot? El token antiguo deja de funcionar de inmediato en todos los lugares donde se usaba. Obtienes un token nuevo para pegarlo en tu código o en el panel de tu proveedor. La identidad del bot, sus servidores y sus datos existentes no se ven afectados.
¿Puede usarse un token filtrado para añadir mi bot a otros servidores? No. Eso requiere el enlace de invitación OAuth2 aparte y la aprobación de un administrador en el servidor de destino. Aun así, un token filtrado sigue siendo peligroso en cada servidor en el que el bot ya está.
¿Restablecer el token borra algo? No. Solo invalida la credencial antigua. La configuración, los roles y los datos almacenados vinculados al ID de la aplicación y al usuario del bot siguen exactamente como estaban.
¿Vas a configurar un bot propio? Añade Noxyr gratis, o consulta la guía de alojamiento si vas a escribir tu propio código.