Webhook Discord : ce que c'est et comment le protéger

Ce que fait un webhook

Vous créez un webhook dans Paramètres du salon, Intégrations. Discord vous donne une URL qui contient l'identifiant du webhook et un jeton secret. Quand un autre programme envoie un message à cette URL, Discord le publie dans le salon, sous le nom et l'avatar du webhook. Il n'y a ni connexion ni bot à inviter.

C'est pour cela que les webhooks sont la façon la plus simple de relier des services externes : une plateforme de code qui annonce un commit, une boutique qui publie une promotion, une page de statut qui signale une panne, un lecteur de flux qui partage de nouveaux articles.

Ce qu'un webhook ne peut pas faire

Un webhook ne peut qu'envoyer. Il ne lit pas les messages, ne réagit pas aux commandes, ne voit pas les membres et ne gère pas les rôles. Pour tout ce qui est interactif, il vous faut un bot qui utilise des commandes slash ou des boutons. Un webhook publie aussi dans un seul salon, même s'il peut publier dans les fils de ce salon.

Les messages de webhook peuvent contenir des embeds, des fichiers et un nom d'utilisateur personnalisé, et ils sont soumis comme le reste aux limites de requêtes de Discord.

Pourquoi l'URL doit rester privée

Le jeton contenu dans l'URL est la seule protection. S'il fuit, un inconnu peut poster dans votre salon, mentionner des personnes et envoyer de fausses annonces convaincantes. Discord ne peut pas faire la différence entre vous et cette personne.

• Ne collez jamais une URL de webhook dans un salon public, un fil d'assistance ou une capture d'écran.
• Donnez à chaque intégration son propre webhook, pour pouvoir en retirer un sans casser les autres.
• Si une URL fuit, supprimez le webhook dans Paramètres du salon, Intégrations, puis créez-en un nouveau. La suppression coupe immédiatement l'ancien lien.
• Vérifiez la liste de temps en temps. Tout webhook que vous ne reconnaissez pas doit être supprimé.

Accordez la permission Gérer les webhooks uniquement aux personnes de confiance. Quiconque la possède peut créer un webhook et publier sous le nom qu'il veut.

Webhooks et Noxyr

Le contrôle de l'état du serveur de Noxyr examine les webhooks de votre serveur dans le cadre de son score de sécurité sur 100, avec les permissions de @everyone et le nombre de rôles ayant la permission Administrateur. Le score et les corrections sont décrits dans la documentation sur la protection. Noxyr publie lui-même via le bot, et non via des webhooks que vous devez créer.

Pour suivre ce qui se passe dans vos salons, voir les journaux du serveur, et pour une vue d'ensemble du verrouillage d'un serveur, la page du bot de sécurité.