Webhook do Discord: o que é e como mantê-lo seguro

O que um webhook faz

Você cria um webhook em Configurações do Canal, Integrações. O Discord fornece uma URL que contém o ID do webhook e um token secreto. Quando outro programa envia uma mensagem para essa URL, o Discord a publica no canal com o nome e o avatar do webhook. Não há login nem bot para convidar.

Isso torna os webhooks a forma mais simples de conectar serviços externos: um host de código anunciando um commit, uma loja publicando uma promoção, uma página de status informando uma queda, um leitor de feeds compartilhando novos artigos.

O que um webhook não faz

Um webhook só consegue enviar. Ele não lê mensagens, não reage a comandos, não vê membros nem gerencia cargos. Para qualquer coisa interativa, você precisa de um bot que use comandos de barra ou botões. Um webhook também publica em apenas um canal, embora possa publicar nas threads desse canal.

As mensagens de webhook podem conter embeds, arquivos e um nome de usuário personalizado, e estão sujeitas aos limites de taxa do Discord como qualquer outra coisa.

Por que a URL precisa ficar privada

O token dentro da URL é a única proteção. Se ele vazar, um desconhecido pode publicar no seu canal, mencionar pessoas e enviar comunicados falsos convincentes. O Discord não consegue diferenciar você deles.

• Nunca cole uma URL de webhook em um canal público, em um tópico de suporte ou em uma captura de tela.
• Dê a cada integração o próprio webhook, para poder remover um sem quebrar os outros.
• Se uma URL vazar, apague o webhook em Configurações do Canal, Integrações e crie um novo. Apagá-lo corta o link antigo imediatamente.
• Revise a lista de vez em quando. Qualquer webhook que você não reconheça deve ser removido.

Conceda Gerenciar webhooks apenas a pessoas em quem você confia. Quem tiver essa permissão pode criar um webhook e publicar com qualquer nome que quiser.

Webhooks e Noxyr

A verificação de saúde do servidor do Noxyr analisa os webhooks do seu servidor como parte da sua pontuação de segurança de 100, junto com as permissões de @everyone e quantos cargos têm Administrador. A pontuação e as correções estão descritas na documentação de proteção. O próprio Noxyr publica pelo bot, e não por webhooks que você precise criar.

Para acompanhar o que acontece nos seus canais, veja os logs do servidor, e para a visão geral de como blindar um servidor, a página do bot de segurança.