Webhook di Discord: cos'è e come tenerlo al sicuro

Cosa fa un webhook

Crei un webhook in Impostazioni canale, Integrazioni. Discord ti fornisce un URL che contiene l'ID del webhook e un token segreto. Quando un altro programma invia un messaggio a quell'URL, Discord lo pubblica nel canale con il nome e l'avatar del webhook. Non c'è nessun accesso e nessun bot da invitare.

Per questo i webhook sono il modo più semplice di collegare servizi esterni: un servizio di hosting del codice che annuncia un commit, un negozio che pubblica una promozione, una pagina di stato che segnala un'interruzione, un lettore di feed che condivide nuovi articoli.

Cosa non può fare un webhook

Un webhook può solo inviare. Non legge i messaggi, non reagisce ai comandi, non vede i membri e non gestisce i ruoli. Per qualsiasi cosa interattiva serve un bot che usa i comandi slash o i pulsanti. Un webhook pubblica anche in un solo canale, anche se può pubblicare nei thread di quel canale.

I messaggi dei webhook possono contenere embed, file e un nome utente personalizzato, e sono soggetti ai rate limit di Discord come tutto il resto.

Perché l'URL deve restare privato

Il token dentro l'URL è l'unica protezione. Se trapela, un estraneo può pubblicare nel tuo canale, menzionare persone e inviare annunci falsi convincenti. Discord non può distinguere tra te e lui.

• Non incollare mai un URL webhook in un canale pubblico, in un thread di supporto o in uno screenshot.
• Dai a ogni integrazione il proprio webhook, così puoi rimuoverne uno senza rompere gli altri.
• Se un URL trapela, elimina il webhook in Impostazioni canale, Integrazioni e creane uno nuovo. Eliminarlo blocca subito il vecchio link.
• Controlla la lista ogni tanto. Ogni webhook che non riconosci va eliminato.

Concedi il permesso Gestisci webhook solo alle persone di cui ti fidi. Chiunque lo abbia può creare un webhook e pubblicare con qualsiasi nome.

Webhook e Noxyr

Il controllo di salute del server di Noxyr esamina i webhook presenti nel tuo server come parte del punteggio di sicurezza su 100, insieme ai permessi di @everyone e al numero di ruoli con Amministratore. Il punteggio e le correzioni sono descritti nella documentazione sulla protezione. Noxyr stesso pubblica tramite il bot, non tramite webhook che devi creare tu.

Per restare al corrente di ciò che succede nei canali, vedi i log del server, e per il quadro generale su come blindare un server, la pagina del bot di sicurezza.