Il token di un bot Discord è la password dell'account del bot: chiunque lo possieda può far accedere quel bot a Discord e fargli fare qualsiasi cosa consentano i suoi permessi, in ogni server in cui è già entrato. Lo ottieni gratis dal Portale per sviluppatori Discord quando crei un'applicazione bot. Trattalo come una password, perché è esattamente questo, e non come un identificatore pubblico come l'ID utente di un bot o un link di invito.
Come ottenere il token di un bot Discord
- Apri il Portale per sviluppatori. Vai su discord.com/developers/applications e accedi con l'account Discord che deve possedere il bot.
- Crea un'applicazione. Premi New Application e dalle un nome. Questo nome non è ancora il nome visualizzato del bot, ma solo quello dell'applicazione.
- Apri la scheda Bot. Discord aggiunge automaticamente un utente bot all'applicazione. Imposta qui il nome utente e l'avatar: è ciò che vedranno i membri nel server.
- Attiva gli intent di cui hai bisogno. Sotto Privileged Gateway Intents, Server Members Intent e Message Content Intent sono disattivati di default. La maggior parte dei bot che danno il benvenuto ai nuovi membri, leggono il testo dei messaggi o tengono traccia dei ruoli ha bisogno che entrambi siano attivi.
- Premi Reset Token. Discord genera il token e te lo mostra una sola volta. Copialo subito: non c'è modo di rivedere lo stesso token in seguito, e premere Reset Token una seconda volta invalida il primo e ne emette uno nuovo.
- Incollalo dove serve. Nel codice del tuo bot come variabile d'ambiente, o nel campo della dashboard di un provider di hosting, mai in un messaggio di chat, in un repository pubblico o in un ticket di supporto.
Cosa concede davvero un token del bot
Il token è il modo in cui il codice si autentica come utente bot con il gateway e l'API REST di Discord. Con un token valido, il codice può:
- Far accedere il bot e mantenerlo online
- Inviare e leggere messaggi in qualsiasi canale che il bot può vedere
- Compiere qualsiasi azione consentita dai permessi del ruolo del bot in ciascun server in cui è già presente: gestire i ruoli, espellere, bandire, eliminare canali e così via
- Leggere i DM del bot e rispondere alle interazioni (comandi slash, pulsanti, modali)
Ciò che non concede è la possibilità di aggiungere il bot a nuovi server. Invitare un bot richiede un link di autorizzazione OAuth2 separato, costruito a partire dall'ID client dell'applicazione e da un insieme di permessi scelto, che un amministratore del server deve approvare. Un token trapelato non può essere usato per invitare il bot in nuovi posti, ma può causare danni reali in ogni server in cui il bot è già entrato, fino ai permessi che quel bot ha lì.
Perché non dovresti mai incollare il token di un bot in chat
Il token di un bot è una credenziale in chiaro senza scadenza integrata. Chiunque lo abbia può usare una propria copia dell'identità del tuo bot finché non reimposti il token, anche nei server di supporto Discord, nelle issue di GitHub o durante una condivisione dello schermo in cui è visibile anche solo per un attimo. Pubblicarlo pubblicamente, per esempio in un commit su GitHub, viene considerato da Discord una credenziale trapelata ed è un modo comune per dirottare i bot e usarli per spammare ogni server in cui si trovano. Non c'è modo di capire dopo chi ha usato un token trapelato o cosa ne ha fatto: l'unica soluzione è reimpostarlo.
La stessa cautela vale per la condivisione di un token con un provider di hosting. Incollalo solo nel campo della dashboard del provider, via HTTPS, mai in un messaggio a una persona, per quanto affidabile, e mai in una segnalazione di bug.
Reimpostare un token revoca subito l'accesso
Premere Reset Token nel Portale per sviluppatori invalida immediatamente il vecchio token. Ogni processo che lo usa ancora (il tuo codice, un provider di hosting, chiunque lo abbia ottenuto senza permesso) viene disconnesso al prossimo tentativo di riconnessione e non può più accedere con il vecchio valore. Da questo meccanismo derivano due cose importanti:
- È il tuo interruttore di emergenza. Se sospetti che un token sia trapelato, reimpostalo prima di fare qualsiasi altra cosa. Il bot va offline per chiunque abbia il vecchio token e torna online solo dove viene inserito il nuovo.
- È anche il modo per cambiare provider. Hai consegnato il tuo token a un servizio di hosting e vuoi andartene? Reimposta il token nel Portale per sviluppatori e il loro accesso termina subito, senza bisogno di chiedere loro di eliminare nulla.
Un bot disconnesso da un token reimpostato di solito mostra nei log un codice di chiusura del gateway 4004 (token non valido), che è il modo in cui Discord dice che la credenziale usata non esiste più.
Come Noxyr archivia il tuo token
Noxyr chiede un token del bot solo per la sua funzione Custom Bot, dove esegui l'intero set di funzioni di Noxyr con il nome e l'avatar del tuo bot. Il token viene archiviato cifrato, usato solo per far accedere il tuo bot al gateway di Discord, e non viene mai mostrato di nuovo a te o a chiunque altro dopo che lo hai incollato. Se in futuro vuoi interrompere l'accesso, reimposta il token nel Portale per sviluppatori come descritto sopra: il bot di Noxyr viene disconnesso nel momento in cui lo fai, esattamente come qualsiasi altro client che usa il vecchio token. I passaggi completi di configurazione, gli intent richiesti e il modello di accesso basato sul voto su Top.gg sono nella documentazione sui Custom Bot e nella nostra guida alla configurazione del Custom Bot.
Domande frequenti
Dove trovo il token del mio bot Discord? Portale per sviluppatori, la tua applicazione, scheda Bot, Reset Token. Viene mostrato una sola volta al momento della generazione; non esiste una pagina che mostri di nuovo un token già esistente.
È sicuro condividere un token del bot? No. Condividerlo, anche in privato, dà a quella persona il controllo completo del bot in ogni server in cui è entrato. Inseriscilo solo nel tuo codice o nel campo della dashboard di un provider di hosting.
Cosa succede se reimposto il token del mio bot? Il vecchio token smette di funzionare subito ovunque fosse in uso. Ottieni un nuovo token da incollare nel tuo codice o nella dashboard del provider; l'identità del bot, i suoi server e i dati esistenti non vengono toccati.
Un token trapelato può essere usato per aggiungere il mio bot ad altri server? No. Questo richiede il link di invito OAuth2 separato e l'approvazione di un amministratore del server di destinazione. Un token trapelato resta comunque pericoloso in ogni server in cui il bot è già presente.
Reimpostare il token cancella qualcosa? No. Invalida solo la vecchia credenziale. Impostazioni, ruoli e dati archiviati legati all'applicazione e all'ID utente del bot restano esattamente come erano.
Stai configurando un bot tutto tuo? Aggiungi Noxyr gratis, oppure consulta la guida all'hosting se stai scrivendo il tuo codice.