Token do Bot no Discord: O Que É e Como Protegê-lo

O que é o token

Quando você cria um aplicativo no Portal do Desenvolvedor do Discord e adiciona um bot a ele, a página Bot pode mostrar um token. É uma longa sequência de letras, números e pontos. O código do seu bot o envia ao se conectar ao Discord, e o Discord usa o token para decidir qual bot está chamando.

O token não é o mesmo que o ID do aplicativo, que é público, nem o segredo do cliente, que é outro segredo usado em fluxos de login.

O que um token exposto permite

Com o token, um estranho pode rodar o bot a partir da própria máquina. Ele pode enviar mensagens como se fosse o bot, ler o que o bot consegue ver e usar cada permissão do bot em todos os servidores em que ele estiver. Um bot com Administrador ou Banir Membros em um servidor grande é um risco sério nas mãos erradas.

O Discord de fato monitora vazamentos. Se um token for publicado em um repositório de código público, o Discord o detecta, o redefine e avisa o dono. Não conte com isso, porque um token compartilhado em um chat privado ou em uma captura de tela não é detectado.

Protegendo um token

• Nunca o cole em um canal do Discord, em um ticket de suporte, em uma captura de tela ou em um repositório público.
• Guarde-o em uma variável de ambiente ou em um arquivo de segredos que não seja enviado para o controle de versão.
• Dê a um bot apenas as permissões e os intents de que ele precisa, para que um vazamento cause menos dano.
• Redefina-o no Portal do Desenvolvedor se tiver qualquer dúvida. Redefinir faz o token antigo parar de funcionar imediatamente, e então você atualiza a sua própria configuração com o novo.

Nenhum serviço legítimo precisa do seu segredo do cliente. Só o token do bot é necessário, e apenas para a hospedagem que roda o seu bot.

Tokens e o Noxyr

O bot Noxyr comum não precisa de nenhum token seu. Você o adiciona apenas com o link de convite. Um token entra em cena quando você configura um bot personalizado que roda os recursos do Noxyr com o nome e o avatar do seu próprio bot. Para isso, você cria o seu próprio aplicativo do Discord e entrega ao Noxyr o token do bot, com os intents Membros do Servidor e Conteúdo das Mensagens ativados. O Noxyr nunca pede o segredo do cliente, e você pode desativar o bot personalizado ou remover o token a qualquer momento, o que devolve o seu servidor ao bot Noxyr comum.

Entregar um token a uma hospedagem é uma decisão real de confiança, e o artigo sobre entregar um token de bot a um serviço de hospedagem explica o que pesar. O guia completo de token do bot cobre as redefinições com mais detalhes.