2 min de lectura
Por Mike
Webhook de Discord: qué es y cómo mantenerlo seguro
Un webhook de Discord es una URL privada que permite a una app externa publicar mensajes en un canal sin una cuenta de bot. Cualquiera que tenga la URL puede publicar allí, así que un enlace de webhook debe mantenerse tan privado como una contraseña.
Qué hace un webhook
Creas un webhook en Ajustes del canal, Integraciones. Discord te da una URL que contiene el ID del webhook y un token secreto. Cuando otro programa envía un mensaje a esa URL, Discord lo publica en el canal con el nombre y el avatar del webhook. No hay inicio de sesión ni bot que invitar.
Por eso los webhooks son la forma más sencilla de conectar servicios externos: una plataforma de código que anuncia un commit, una tienda que publica una oferta, una página de estado que informa de una caída o un lector de feeds que comparte artículos nuevos.
Lo que un webhook no puede hacer
Un webhook solo puede enviar. No lee mensajes, no reacciona a comandos, no ve miembros ni gestiona roles. Para algo interactivo necesitas un bot que use comandos de barra o botones. Un webhook también publica en un solo canal, aunque puede publicar en los hilos de ese canal.
Los mensajes de webhook pueden llevar embeds, archivos y un nombre de usuario personalizado, y están sujetos a los límites de frecuencia de Discord como todo lo demás.
Por qué la URL debe ser privada
El token que contiene la URL es la única protección. Si se filtra, un desconocido puede publicar en tu canal, mencionar a personas y enviar anuncios falsos convincentes. Discord no puede distinguir entre tú y esa persona.
- Nunca pegues una URL de webhook en un canal público, un hilo de soporte o una captura de pantalla.
- Da a cada integración su propio webhook para poder eliminar uno sin romper los demás.
- Si una URL se filtra, elimina el webhook en Ajustes del canal, Integraciones y crea uno nuevo. Eliminarlo corta el enlace antiguo al instante.
- Revisa la lista de vez en cuando. Cualquier webhook que no reconozcas debe eliminarse.
Concede Gestionar webhooks solo a personas de confianza. Quien lo tenga puede crear un webhook y publicar con el nombre que quiera.
Webhooks y Noxyr
La comprobación de salud del servidor de Noxyr revisa los webhooks de tu servidor como parte de su puntuación de seguridad sobre 100, junto con los permisos de @everyone y cuántos roles tienen Administrador. La puntuación y las soluciones se describen en la documentación de protección. Noxyr en sí publica a través del bot, no mediante webhooks que tengas que crear tú.
Para estar al tanto de lo que ocurre en tus canales, consulta los registros del servidor, y para el panorama general de cómo blindar un servidor, la página del bot de seguridad.
Preguntas frecuentes
¿Para qué se usa un webhook de Discord?
Para publicar mensajes en un canal desde otro servicio, como una página de estado, una tienda o una plataforma de código, sin ejecutar un bot.
¿La URL de un webhook es un secreto?
Sí. Cualquiera con la URL puede publicar en el canal. Elimina y vuelve a crear el webhook si se filtra.
¿Un webhook puede leer mensajes o ejecutar comandos?
No. Un webhook solo envía mensajes. Para comandos y botones necesitas un bot.
