Token bota Discord to hasło do konta bota: kto go ma, może zalogować tego bota na Discordzie i kazać mu robić wszystko, na co pozwalają jego uprawnienia, na każdym serwerze, do którego już dołączył. Dostajesz go za darmo w Discord Developer Portal, gdy tworzysz aplikację bota. Traktuj go jak hasło, bo nim właśnie jest, a nie jak publiczny identyfikator, taki jak ID użytkownika bota czy link zaproszeniowy.
Jak zdobyć token bota Discord
- Otwórz Developer Portal. Wejdź na discord.com/developers/applications i zaloguj się kontem Discord, które ma być właścicielem bota.
- Utwórz aplikację. Kliknij New Application i nadaj jej nazwę. To nie jest jeszcze nazwa wyświetlana bota, tylko nazwa aplikacji.
- Otwórz kartę Bot. Discord automatycznie dodaje do aplikacji użytkownika bota. Ustaw tutaj nazwę użytkownika i awatar; to zobaczą członkowie na serwerze.
- Włącz potrzebne intencje. W sekcji Privileged Gateway Intents Server Members Intent i Message Content Intent są domyślnie wyłączone. Większość botów, które witają nowych członków, czytają treść wiadomości albo śledzą role, potrzebuje obu.
- Kliknij Resetuj token. Discord generuje token i pokazuje go dokładnie raz. Skopiuj go od razu; nie ma sposobu, żeby później ponownie zobaczyć ten sam token. Kolejne kliknięcie Resetuj token unieważnia pierwszy i wydaje nowy.
- Wklej go tam, gdzie jest potrzebny. Do kodu własnego bota jako zmienną środowiskową albo do pola w panelu dostawcy hostingu, nigdy do wiadomości na czacie, publicznego repozytorium ani zgłoszenia do pomocy.
Co faktycznie daje token bota
Token to sposób, w jaki kod uwierzytelnia się jako użytkownik bota w gatewayu i API REST Discorda. Z ważnym tokenem kod może:
- Zalogować bota i utrzymać go online
- Wysyłać i czytać wiadomości na każdym kanale, który bot widzi
- Wykonywać każdą akcję, na którą pozwalają uprawnienia roli bota na każdym serwerze, do którego już dołączył: zarządzanie rolami, wyrzucanie, banowanie, usuwanie kanałów i tak dalej
- Czytać prywatne wiadomości bota i odpowiadać na interakcje (komendy slash, przyciski, modale)
Czego nie daje: możliwości dodania bota na nowe serwery. Zaproszenie bota wymaga osobnego linku autoryzacji OAuth2, zbudowanego z client ID aplikacji i wybranego zestawu uprawnień, który musi zatwierdzić administrator serwera. Wyciekły token nie pozwoli zaprosić bota w nowe miejsce, ale może wyrządzić realne szkody na każdym serwerze, do którego bot już dołączył, w granicach uprawnień, które tam ma.
Dlaczego nigdy nie wklejaj tokena bota na czat
Token bota to dane uwierzytelniające w postaci jawnego tekstu, bez wbudowanego wygaśnięcia. Każdy, kto go ma, może uruchomić własną kopię tożsamości Twojego bota, dopóki nie zresetujesz tokena, także na serwerach wsparcia Discorda, w zgłoszeniach na GitHubie czy podczas udostępniania ekranu, gdzie jest widoczny nawet przez chwilę. Publiczne wklejenie go, na przykład w commicie na GitHubie, Discord traktuje jako wyciek danych uwierzytelniających, a to częsty sposób na przejęcie botów, które potem spamują wszystkie serwery, na których są. Nie da się po fakcie ustalić, kto użył wyciekłego tokena i co z nim zrobił; jedyną naprawą jest reset.
Ta sama ostrożność dotyczy udostępniania tokena dostawcy hostingu. Wklejaj go tylko do pola w panelu samego dostawcy, przez HTTPS, nigdy w wiadomości do człowieka, choćby był najbardziej godny zaufania, i nigdy w zgłoszeniu błędu.
Reset tokena natychmiast odbiera dostęp
Kliknięcie Resetuj token w Developer Portal natychmiast unieważnia stary token. Każdy proces, który nadal go używa, Twój kod, dostawca hostingu, ktokolwiek zdobył go bez zgody, zostaje rozłączony przy następnej próbie ponownego połączenia i nie może zalogować się ze starą wartością. Stoi za tym mechanizm warty zapamiętania:
- To Twój wyłącznik awaryjny. Jeśli kiedykolwiek podejrzewasz wyciek tokena, zresetuj go przed czymkolwiek innym. Bot przechodzi w offline u tego, kto ma stary token, i wraca online tylko tam, gdzie wpisano nowy.
- To także sposób na zmianę dostawcy. Przekazałeś token usłudze hostingowej i chcesz odejść? Zresetuj token w Developer Portal, a ich dostęp kończy się od razu, bez konieczności proszenia ich o cokolwiek usunięcie.
Bot rozłączony przez reset tokena zwykle pokazuje w logach kod zamknięcia gatewaya 4004 (nieprawidłowy token), co jest sposobem Discorda na powiedzenie, że dane uwierzytelniające, których próbował użyć, już nie istnieją.
Jak Noxyr przechowuje Twój token
Noxyr prosi o token bota tylko dla funkcji Custom Bot, gdzie uruchamiasz pełny zestaw funkcji Noxyr pod nazwą i awatarem własnego bota. Token jest przechowywany zaszyfrowany, używany wyłącznie do zalogowania Twojego bota do gatewaya Discorda i nigdy nie jest wyświetlany ani Tobie, ani nikomu innemu po wklejeniu. Jeśli kiedykolwiek chcesz odciąć dostęp, zresetuj token w Developer Portal w opisany wyżej sposób; bot Noxyr zostaje rozłączony w chwili resetu, tak jak każdy inny klient używający starego tokena. Pełne kroki konfiguracji, wymagane intencje i model dostępu przez głos na Top.gg są w dokumentacji Custom Bot i w naszym przewodniku konfiguracji Custom Bot.
Częste pytania
Gdzie znajdę token bota Discord? Developer Portal, Twoja aplikacja, karta Bot, Resetuj token. Jest pokazywany raz, w chwili generowania; nie ma strony, która wyświetla istniejący token ponownie.
Czy udostępnianie tokena bota jest bezpieczne? Nie. Udostępnienie go, nawet prywatnie, daje tej osobie pełną kontrolę nad botem na każdym serwerze, do którego dołączył. Wpisuj go tylko do własnego kodu albo do pola w panelu dostawcy hostingu.
Co się stanie, jeśli zresetuję token bota? Stary token przestaje działać od razu wszędzie, gdzie był używany. Dostajesz nowy token do wklejenia w kodzie albo w panelu dostawcy; tożsamość bota, serwery i istniejące dane pozostają nienaruszone.
Czy wyciekły token może posłużyć do dodania bota na inne serwery? Nie. Wymaga to osobnego linku zaproszeniowego OAuth2 i zatwierdzenia przez administratora docelowego serwera. Wyciekły token nadal jest jednak niebezpieczny na każdym serwerze, na którym bot już jest.
Czy reset tokena coś usuwa? Nie. Unieważnia tylko stare dane uwierzytelniające. Ustawienia, role i zapisane dane powiązane z aplikacją bota i jego ID użytkownika pozostają dokładnie takie, jakie były.
Konfigurujesz własnego bota? Dodaj Noxyr za darmo, albo zajrzyj do przewodnika po hostingu, jeśli piszesz własny kod.