Token del bot Discord: cos'è e come proteggerlo

Cos'è il token

Quando crei un'applicazione nel Portale per sviluppatori Discord e ci aggiungi un bot, la pagina Bot può mostrare un token. È una lunga stringa di lettere, numeri e punti. Il codice del tuo bot la invia quando si connette a Discord, e Discord la usa per capire quale bot sta chiamando.

Il token non è lo stesso dell'ID applicazione, che è pubblico, né del client secret, un segreto diverso usato nei flussi di accesso.

Cosa permette un token esposto

Con il token, un estraneo può far girare il bot dal proprio computer. Può inviare messaggi come il bot, leggere ciò che il bot vede e usare ogni permesso del bot in tutti i server in cui si trova. Un bot con Amministratore o Bannare membri in un server grande è un rischio serio nelle mani sbagliate.

Discord controlla le fughe. Se un token viene pubblicato in un repository di codice pubblico, Discord lo rileva, lo reimposta e avvisa il proprietario. Non fare affidamento su questo, perché un token condiviso in una chat privata o in uno screenshot non viene intercettato.

Proteggere un token

• Non incollarlo mai in un canale Discord, in un ticket di supporto, in uno screenshot o in un repository pubblico.
• Conservalo in una variabile d'ambiente o in un file di segreti che non viene committato nel controllo di versione.
• Dai al bot solo i permessi e gli intent che gli servono, così una fuga fa meno danni.
• Reimpostalo nel Portale per sviluppatori se hai il minimo dubbio. Reimpostare rende subito inattivo il vecchio token, poi aggiorni la tua configurazione con quello nuovo.

Nessun servizio legittimo ha bisogno del tuo client secret. Serve solo il token del bot, e solo per l'hosting che fa girare il tuo bot.

Token e Noxyr

Il bot Noxyr standard non richiede alcun token da parte tua: lo aggiungi solo con il link di invito. Un token entra in gioco quando configuri un bot personalizzato che esegue le funzioni di Noxyr con il tuo nome e il tuo avatar. Per questo crei una tua applicazione Discord e dai a Noxyr il token del bot, con gli intent Membri del server e Contenuto dei messaggi attivi. Noxyr non chiede mai il client secret, e puoi disattivare il bot personalizzato o rimuovere il token in qualsiasi momento, il che riporta il tuo server al normale bot Noxyr.

Dare un token a un host è una decisione di fiducia importante, e l'articolo su come dare il token del bot a un servizio di hosting spiega cosa valutare. La guida completa al token del bot approfondisce le reimpostazioni.