O token de um bot do Discord é a senha da conta do bot: quem o possui pode fazer login com esse bot no Discord e fazê-lo executar qualquer coisa que as suas permissões permitam, em todos os servidores em que ele já entrou. Você obtém um gratuitamente no Portal de Desenvolvedores do Discord ao criar uma aplicação de bot. Trate-o como uma senha, porque é exatamente isso, e não como um identificador público, como o ID de usuário do bot ou o link de convite.
Como obter um token de bot do Discord
- Abra o Portal de Desenvolvedores. Acesse discord.com/developers/applications e entre com a conta do Discord que deve ser dona do bot.
- Crie uma aplicação. Clique em Nova Aplicação e dê um nome a ela. Esse nome ainda não é o nome de exibição do bot, apenas o da aplicação.
- Abra a aba Bot. O Discord adiciona automaticamente um usuário de bot à aplicação. Defina aqui o nome de usuário e o avatar; é isso que os membros verão no servidor.
- Ative os intents de que você precisa. Em Intents Privilegiados do Gateway, o Server Members Intent e o Message Content Intent vêm desativados por padrão. A maioria dos bots que dão boas-vindas a novos membros, leem o texto das mensagens ou acompanham cargos precisa que os dois estejam ligados.
- Pressione Redefinir Token. O Discord gera o token e o mostra para você exatamente uma vez. Copie-o imediatamente: não há como visualizar o mesmo token depois; pressionar Redefinir Token uma segunda vez invalida o primeiro e emite um novo.
- Cole-o onde for necessário. No código do seu próprio bot, como variável de ambiente, ou no campo do painel de um provedor de hospedagem; nunca em uma mensagem de chat, em um repositório público ou em um ticket de suporte.
O que um token de bot realmente concede
O token é a forma como o código se autentica como o usuário do bot no gateway e na API REST do Discord. Com um token válido, o código pode:
- Fazer login do bot e mantê-lo online
- Enviar e ler mensagens em qualquer canal que o bot consiga ver
- Executar qualquer ação que as permissões do cargo do bot permitam em cada servidor em que ele já está: gerenciar cargos, expulsar, banir, apagar canais, e assim por diante
- Ler as DMs do próprio bot e responder a interações (comandos de barra, botões, modais)
O que ele não concede: a capacidade de adicionar o bot a novos servidores. Convidar um bot exige um link de autorização OAuth2 separado, criado a partir do ID de cliente da aplicação e de um conjunto de permissões escolhido, que um admin do servidor precisa aprovar. Um token vazado não pode ser usado para convidar o bot para lugar nenhum novo, mas pode causar danos reais em todos os servidores em que o bot já entrou, até o limite das permissões que ele tem em cada um.
Por que você nunca deve colar um token de bot no chat
Um token de bot é uma credencial em texto simples, sem validade embutida. Qualquer pessoa que o tenha pode executar a própria cópia da identidade do seu bot até que você redefina o token, inclusive em servidores de suporte do Discord, issues no GitHub ou compartilhamentos de tela em que ele fica visível, mesmo que por um instante. Colá-lo publicamente, por exemplo em um commit no GitHub, é tratado pelo Discord como uma credencial vazada e é uma forma comum de bots serem sequestrados para enviar spam para todos os servidores em que estão. Não há como descobrir depois quem usou um token vazado nem o que fez com ele; a única correção é redefini-lo.
A mesma cautela vale para compartilhar um token com um provedor de hospedagem. Cole-o apenas no campo do próprio painel do provedor, via HTTPS, nunca em uma mensagem para uma pessoa, por mais confiável que ela seja, e nunca em um relatório de bug.
Redefinir um token revoga o acesso instantaneamente
Pressionar Redefinir Token no Portal de Desenvolvedores invalida imediatamente o token antigo. Todo processo que ainda o usa (o seu código, um provedor de hospedagem, qualquer pessoa que o tenha obtido sem permissão) é desconectado na próxima tentativa de reconexão e não consegue fazer login de novo com o valor antigo. Isso é o mecanismo por trás de duas coisas que vale saber:
- É o seu interruptor de emergência. Se você suspeitar que um token vazou, redefina-o antes de qualquer outra coisa. O bot fica offline para quem tem o token antigo e volta a ficar online apenas onde o novo token for inserido.
- É também como você troca de provedor. Entregou o seu token a um serviço de hospedagem e quer sair? Redefina o token no Portal de Desenvolvedores e o acesso deles termina imediatamente, sem precisar pedir que apaguem nada.
Um bot desconectado por um token redefinido normalmente mostra o código de fechamento do gateway 4004 (token inválido) nos seus logs, que é a forma de o Discord dizer que a credencial que ele tentou usar não existe mais.
Como a Noxyr armazena o seu token
A Noxyr pede um token de bot apenas para o seu recurso Bot Personalizado, em que você executa o conjunto completo de recursos da Noxyr sob o nome e o avatar do seu próprio bot. O token é armazenado criptografado, usado somente para conectar o seu bot ao gateway do Discord, e nunca é mostrado de volta a você nem a ninguém depois que você o cola. Se quiser cortar o acesso a qualquer momento, redefina o token no Portal de Desenvolvedores da mesma forma descrita acima; o bot da Noxyr é desconectado no momento em que você fizer isso, exatamente como qualquer outro cliente que use o token antigo. Os passos completos de configuração, os intents necessários e o modelo de acesso gratuito por voto no Top.gg estão na documentação do Bot Personalizado e no nosso guia de configuração do Bot Personalizado.
Perguntas frequentes
Onde encontro o meu token de bot do Discord? Portal de Desenvolvedores, sua aplicação, aba Bot, Redefinir Token. Ele é mostrado uma única vez, no momento da geração; não existe página que volte a exibir um token existente.
É seguro compartilhar um token de bot? Não. Compartilhá-lo, mesmo que em privado, dá a essa pessoa controle total do bot em todos os servidores em que ele entrou. Insira-o somente no seu próprio código ou no campo do painel de um provedor de hospedagem.
O que acontece se eu redefinir o token do meu bot? O token antigo deixa de funcionar imediatamente em todos os lugares onde estava em uso. Você recebe um novo token para colar no seu código ou no painel do provedor; a identidade do bot, os servidores e os dados existentes não são afetados.
Um token vazado pode ser usado para adicionar o meu bot a outros servidores? Não. Isso exige o link de convite OAuth2 separado e a aprovação de um admin no servidor de destino. Um token vazado continua perigoso em todos os servidores em que o bot já está.
Redefinir o token apaga alguma coisa? Não. Ele apenas invalida a credencial antiga. As configurações, os cargos e os dados armazenados ligados à aplicação e ao ID de usuário do bot continuam exatamente como estavam.
Quer configurar um bot próprio? Adicione a Noxyr grátis, ou veja o guia de hospedagem se você estiver escrevendo o seu próprio código.