Token del bot de Discord: qué es y cómo protegerlo

Qué es el token

Cuando creas una aplicación en el Portal para desarrolladores de Discord y le añades un bot, la página Bot puede mostrar un token. Es una cadena larga de letras, números y puntos. El código de tu bot lo envía al conectarse a Discord, y Discord lo usa para saber qué bot está llamando.

El token no es lo mismo que el ID de aplicación, que es público, ni que el secreto de cliente, que es otro secreto distinto usado en los flujos de inicio de sesión.

Qué permite un token expuesto

Con el token, un desconocido puede ejecutar el bot desde su propio equipo. Puede enviar mensajes como si fuera el bot, leer lo que este puede ver y usar todos los permisos del bot en cada servidor en el que está. Un bot con Administrador o Banear miembros en un servidor grande es un riesgo serio si cae en manos equivocadas.

Discord sí vigila las filtraciones. Si un token se publica en un repositorio de código público, Discord lo detecta, lo restablece y avisa al propietario. No confíes en eso, porque un token compartido en un chat privado o en una captura de pantalla no se detecta.

Cómo proteger un token

• Nunca lo pegues en un canal de Discord, en un ticket de soporte, en una captura de pantalla ni en un repositorio público.
• Guárdalo en una variable de entorno o en un archivo de secretos que no se suba al control de versiones.
• Da a un bot solo los permisos y los intents que necesita, para que una filtración cause menos daño.
• Restablécelo en el Portal para desarrolladores si tienes alguna duda. Al restablecerlo, el token anterior deja de funcionar al instante, y luego actualizas tu configuración con el nuevo.

Ningún servicio legítimo necesita tu secreto de cliente. Solo se necesita el token del bot, y únicamente para el alojamiento que ejecuta tu bot.

Tokens y Noxyr

El bot normal de Noxyr no necesita ningún token tuyo. Solo lo añades con el enlace de invitación. Un token entra en juego cuando configuras un bot personalizado que ejecuta las funciones de Noxyr con el nombre y el avatar de tu propio bot. Para eso creas tu propia aplicación de Discord y le das a Noxyr el token del bot, con los intents de miembros del servidor y de contenido de mensajes activados. Noxyr nunca pide el secreto de cliente, y puedes desactivar el bot personalizado o quitar el token en cualquier momento, lo que devuelve tu servidor al bot normal de Noxyr.

Dar un token a un servicio de alojamiento es una decisión de confianza real, y el artículo sobre dar un token de bot a un servicio de alojamiento explica qué conviene valorar. La guía completa del token de bot trata los restablecimientos con más detalle.