Oui, il est sûr de donner le jeton d'un bot Discord à un service d'hébergement, à condition que l'hébergeur le stocke chiffré, ne vous le réaffiche jamais après l'avoir collé, et vous permette de couper son accès immédiatement en réinitialisant le jeton dans le Portail développeur. Cette réinitialisation est le vrai filet de sécurité. Elle compte davantage que de faire confiance aveuglément à l'hébergeur, car elle fonctionne quelle que soit la personne qui possède le jeton.
Ce qu'un jeton de bot permet réellement de faire
Un jeton est ce qui permet au code de se connecter en tant que votre bot et d'authentifier ses requêtes API. Quiconque le possède peut publier des messages, lire ce que le bot peut voir, et effectuer toute action autorisée par ses permissions dans chaque serveur que le bot a déjà rejoint. Ce qu'il ne peut pas faire, c'est ajouter le bot à un nouveau serveur : cela exige un lien d'invitation OAuth2 distinct et l'approbation d'un administrateur du serveur. Un jeton divulgué ou mal utilisé est un vrai problème dans les serveurs où le bot se trouve déjà, mais ce n'est pas une clé maîtresse de toute votre présence sur Discord.
Le vrai risque n'est pas de le donner, mais la façon dont il est stocké ensuite
Coller un jeton dans le champ du tableau de bord d'un hébergeur, via HTTPS, n'est pas fondamentalement différent de saisir un mot de passe dans n'importe quel formulaire de connexion. Le risque qui compte vraiment, c'est ce qui arrive ensuite : est-il stocké en clair à un endroit qu'un bug ou un employé peu scrupuleux pourrait lire, apparaît-il dans les journaux, le personnel du support peut-il le retrouver et le voir. Ce sont des questions de stockage et de manipulation, et non des questions sur le simple fait de le partager.
Ce que doit faire un hébergeur digne de confiance
- Le stocker chiffré au repos, et non en texte brut dans une colonne de base de données que quiconque ayant un accès en lecture pourrait copier.
- Ne jamais vous le réafficher après l'avoir enregistré une fois, comme un champ de mot de passe ne révèle pas ce que vous avez tapé.
- N'accepter le jeton que via HTTPS, dans leur propre tableau de bord, jamais par MP ou par e-mail.
- Vous laisser le réinitialiser ou le supprimer vous-même, à tout moment, sans avoir à demander au support de le faire pour vous.
- Le supprimer réellement de leur base de données quand vous retirez le bot ou fermez le compte, et pas seulement cesser de l'utiliser.
Votre vrai interrupteur d'arrêt : la réinitialisation du jeton
Ce point relève du fonctionnement universel de Discord, et non d'un contrôle propre à un hébergeur. Cliquer sur Réinitialiser le jeton dans le Portail développeur invalide immédiatement l'ancien jeton, partout où il était utilisé. Votre propre code, un hébergeur ou toute personne qui l'a obtenu sans autorisation est déconnecté à sa prochaine tentative de reconnexion, et ne peut plus se reconnecter avec l'ancienne valeur. C'est pourquoi confier un jeton à un hébergeur réputé présente moins de risques qu'il n'y paraît : vous n'êtes jamais réellement enfermé, vous pouvez mettre fin à leur accès en quelques secondes, à tout moment, pour n'importe quelle raison.
Comment Noxyr gère cela, à titre d'exemple
La fonctionnalité Bot personnalisé de Noxyr demande un jeton pour faire tourner l'ensemble de ses fonctionnalités sous le nom de votre propre bot. Il est stocké chiffré, déchiffrable uniquement par le site web et le nœud d'hébergement précis qui fait tourner votre bot, et il n'est jamais réaffiché ni à vous ni à qui que ce soit après que vous l'avez collé. Seule la personne qui a initialement collé le jeton peut le remplacer ; les autres administrateurs du même serveur peuvent voir l'état du bot, mais ne peuvent pas en installer un autre sous votre nom. Supprimer votre bot personnalisé efface entièrement le jeton stocké. Si vous voulez partir, la réinitialisation du jeton dans le Portail développeur le déconnecte dès que vous le faites, exactement comme avec n'importe quel autre hébergeur.
Et si l'hébergeur ferme ou se fait pirater malgré tout ?
Même un hébergeur qui fait tout correctement peut avoir une mauvaise journée : un serveur est piraté, une entreprise ferme sans prévenir. La même réinitialisation qui vous permet de partir volontairement est aussi ce qui vous protège ici : dès que vous avez la moindre raison de penser que la base de données d'un hébergeur a été exposée, réinitialisez le jeton sans attendre leur rapport d'incident. Une fuite d'un jeton chiffré que vous invalidez en quelques minutes est un incident bien moins grave que la même fuite contre un jeton que personne ne fait jamais tourner.
Signaux d'alarme qui doivent vous faire partir
- Il vous demande de coller le jeton dans un MP Discord ou un chat de support au lieu d'un vrai formulaire du tableau de bord.
- Il ne vous laisse aucun moyen de le réinitialiser, de le remplacer ou de le supprimer vous-même.
- Il fait passer le formulaire de saisie par HTTP simple plutôt que par HTTPS.
- Il reste flou sur les personnes de son équipe qui peuvent voir les jetons stockés.
- Il vous demande le mot de passe de votre compte Discord personnel à la place du jeton du bot, ou en plus. Aucun service d'hébergement légitime n'en a jamais besoin.
Questions fréquentes
Un hébergeur peut-il s'emparer des serveurs de mon bot ? Non. Un jeton ne peut pas inviter le bot quelque part de nouveau : cela passe toujours par le flux OAuth2 séparé et par un administrateur qui clique sur Autoriser.
Puis-je reprendre mon bot après avoir utilisé un hébergeur ? Oui. Réinitialisez le jeton dans le Portail développeur, et l'accès de l'hébergeur prend fin immédiatement, sans avoir besoin de lui demander de supprimer quoi que ce soit au préalable.
La double authentification de mon compte Discord protège-t-elle le jeton ? Non. Le jeton du bot est un identifiant distinct de votre connexion. Le réinitialiser est le seul contrôle qui compte vraiment ici.
L'auto-hébergement est-il intrinsèquement plus sûr qu'un hébergeur ? Pas automatiquement. Un jeton divulgué depuis votre propre serveur est tout aussi dangereux qu'un jeton volé dans la base de données d'un hébergeur ; la sécurité vient du chiffrement et de la manipulation, pas de la personne qui fait tourner le processus.
Que faire si je pense qu'un jeton a déjà fuité ? Réinitialisez-le immédiatement, avant d'enquêter sur quoi que ce soit d'autre. C'est le moyen le plus rapide de couper l'accès à quiconque le possède, quelle que soit la façon dont il l'a obtenu.
Consultez notre guide complet sur le jeton de bot Discord pour savoir comment en générer et en réinitialiser un, ou la documentation du Bot personnalisé pour le fonctionnement exact de la configuration Noxyr.