2 min de lecture
Par Mike
Jeton de bot Discord : ce que c'est et comment le protéger
Le jeton du bot est la chaîne secrète qui prouve qu'un programme a le droit d'agir en tant qu'un bot Discord précis. Quiconque le possède peut se connecter en tant que bot et utiliser toutes ses permissions. Traitez-le donc exactement comme un mot de passe et réinitialisez-le dès qu'il est exposé.
Ce qu'est le jeton
Quand vous créez une application dans le portail développeur Discord et que vous y ajoutez un bot, la page Bot peut afficher un jeton. C'est une longue chaîne de lettres, de chiffres et de points. Le code de votre bot l'envoie quand il se connecte à Discord, et Discord s'en sert pour savoir quel bot appelle.
Le jeton n'est pas la même chose que l'ID de l'application, qui est public, ni que le secret client, qui est un autre secret utilisé pour les flux de connexion.
Ce qu'un jeton exposé permet
Avec le jeton, un inconnu peut faire tourner le bot depuis sa propre machine. Il peut envoyer des messages en son nom, lire ce qu'il voit et utiliser chaque permission du bot dans chaque serveur où il se trouve. Un bot avec les permissions Administrateur ou Bannir des membres sur un grand serveur représente un risque sérieux entre de mauvaises mains.
Discord surveille les fuites. Si un jeton est publié dans un dépôt de code public, Discord le détecte, le réinitialise et prévient le propriétaire. Ne vous y fiez pas, car un jeton partagé dans une conversation privée ou une capture d'écran n'est pas détecté.
Protéger un jeton
- Ne le collez jamais dans un salon Discord, un ticket de support, une capture d'écran ou un dépôt public.
- Gardez-le dans une variable d'environnement ou un fichier de secrets qui n'est pas versionné.
- Ne donnez à un bot que les permissions et les intents dont il a besoin, pour qu'une fuite fasse moins de dégâts.
- Réinitialisez-le dans le portail développeur si vous avez le moindre doute. La réinitialisation rend immédiatement l'ancien jeton inopérant, puis vous mettez à jour votre configuration avec le nouveau.
Aucun service légitime n'a besoin de votre secret client. Seul le jeton du bot est nécessaire, et uniquement pour l'hébergement qui fait tourner votre bot.
Jetons et Noxyr
Le bot Noxyr classique n'a besoin d'aucun jeton de votre part. Vous l'ajoutez simplement avec le lien d'invitation. Un jeton intervient quand vous configurez un bot personnalisé qui fait fonctionner les fonctionnalités de Noxyr sous votre propre nom et avatar. Pour cela, vous créez votre propre application Discord et donnez à Noxyr le jeton du bot, avec les intents Membres du serveur et Contenu des messages activés. Noxyr ne demande jamais le secret client, et vous pouvez désactiver le bot personnalisé ou retirer le jeton à tout moment, ce qui ramène votre serveur au bot Noxyr classique.
Confier un jeton à un hébergeur est une véritable décision de confiance, et l'article sur la remise d'un jeton de bot à un service d'hébergement explique ce qu'il faut peser. Le guide complet du jeton de bot détaille davantage les réinitialisations.
Questions fréquentes
Que dois-je faire si mon jeton de bot fuite ?
Ouvrez le portail développeur, allez sur la page de votre bot et réinitialisez le jeton immédiatement. Mettez ensuite à jour tous les endroits qui utilisaient l'ancien.
Le jeton du bot est-il identique au secret client ?
Non. Ce sont deux secrets distincts. Les bots personnalisés de Noxyr n'ont besoin que du jeton du bot, jamais du secret client.
Puis-je retrouver mon jeton après avoir quitté la page ?
Discord ne l'affiche qu'au moment où vous le réinitialisez ou le créez. Si vous le perdez, réinitialisez-le pour en obtenir un nouveau.
