Token bota Discord: czym jest i jak go chronić

Czym jest token

Gdy tworzysz aplikację w Discord Developer Portal i dodajesz do niej bota, strona Bot może pokazać token. To długi ciąg liter, cyfr i kropek. Kod twojego bota wysyła go przy łączeniu z Discordem, a Discord na tej podstawie rozpoznaje, który bot dzwoni.

Token nie jest tym samym co ID aplikacji, które jest publiczne, ani client secret, czyli innym sekretem do przepływów logowania.

Co daje wyciekły token

Mając token, obcy może uruchomić bota ze swojego komputera. Może wysyłać wiadomości w jego imieniu, czytać to, co bot widzi, i używać każdego uprawnienia bota na każdym serwerze, na którym jest. Bot z Administratorem lub Banowaniem członków na dużym serwerze w niepowołanych rękach to poważne ryzyko.

Discord wykrywa wycieki. Jeśli token zostanie opublikowany w publicznym repozytorium kodu, Discord go wykrywa i resetuje, a potem informuje właściciela. Nie polegaj na tym, bo token wysłany w prywatnym czacie albo na zrzucie ekranu nie zostanie wychwycony.

Jak chronić token

• Nigdy nie wklejaj go na kanał Discord, do zgłoszenia do wsparcia, na zrzut ekranu ani do publicznego repozytorium.
• Trzymaj go w zmiennej środowiskowej lub pliku sekretów, który nie trafia do systemu kontroli wersji.
• Nadawaj botowi tylko uprawnienia i intencje, których potrzebuje, żeby wyciek wyrządził mniej szkód.
• Zresetuj go w Developer Portal, jeśli masz wątpliwości. Reset natychmiast unieważnia stary token, a ty potem aktualizujesz swoją konfigurację nowym.

Żadna uczciwa usługa nie potrzebuje twojego client secret. Potrzebny jest tylko token bota, i to wyłącznie hostingowi, który uruchamia twojego bota.

Tokeny a Noxyr

Zwykły bot Noxyr nie wymaga od ciebie żadnego tokenu. Dodajesz go tylko linkiem zaproszenia. Token jest potrzebny, gdy konfigurujesz własnego bota, który uruchamia funkcje Noxyr pod twoją nazwą i awatarem. Wtedy tworzysz własną aplikację Discord i podajesz Noxyr token bota, z włączonymi intencjami Server Members i Message Content. Noxyr nigdy nie prosi o client secret, a własnego bota możesz wyłączyć lub usunąć token w każdej chwili, co przywraca zwykłego bota Noxyr na twoim serwerze.

Oddanie tokenu hostingowi to realna decyzja o zaufaniu. Artykuł o oddawaniu tokenu bota usłudze hostingowej wyjaśnia, co rozważyć. Pełny przewodnik po tokenach botów omawia resety szczegółowo.