Evet, bir Discord bot token'ını bir barındırma servisine vermek güvenlidir; yeter ki servis token'ı şifreli saklasın, yapıştırdıktan sonra size bir daha göstermesin ve Geliştirici Portalı'nda token'ı sıfırlayarak erişimini anında kesmenize izin versin. Bu sıfırlama gerçek güvenlik ağıdır. Servise körü körüne güvenmekten daha önemlidir, çünkü token kimin elinde olursa olsun işe yarar.
Bir bot token'ı birine gerçekte ne yaptırabilir
Token, kodun botunuz olarak giriş yapması ve API isteklerini doğrulaması için kullanılan yoldur. Ona sahip olan kişi mesaj gönderebilir, botun görebildiği şeyleri okuyabilir ve botun zaten katıldığı her sunucuda izinlerinin izin verdiği her eylemi yapabilir. Yapamadığı şey, botu yeni bir sunucuya eklemektir; bunun için ayrı bir OAuth2 davet bağlantısı ve bir sunucu yöneticisinin onayı gerekir. Sızmış ya da kötüye kullanılmış bir token, botun zaten bulunduğu sunucularda gerçek bir sorundur, ama Discord varlığınızın tamamına açılan ana anahtar değildir.
Asıl risk onu vermek değil, sonrasında nasıl saklandığıdır
Bir token'ı HTTPS üzerinden bir barındırma sağlayıcısının panelindeki bir alana yapıştırmak, herhangi bir giriş formuna şifre yapıştırmaktan anlamlı şekilde farklı değildir. Gerçekten önemli olan risk, sonrasında ne olduğudur: bir hatanın ya da dikkatsiz bir çalışanın okuyabileceği bir yerde düz metin olarak mı saklanıyor, günlüklerde görünüyor mu, destek personeli bunu çekip görebiliyor mu? Bunlar saklama ve kullanım sorularıdır; paylaşma eylemi hakkında hiç değildir.
Güvenilir bir sağlayıcı ne yapmalı
- Dinlenirken şifreli saklamalı, okuma erişimi olan herkesin kopyalayabileceği bir veritabanı sütununda düz metin olarak değil.
- Bir kez kaydettikten sonra bunu size bir daha göstermemeli; bir şifre alanının yazdığınızı ifşa etmemesi gibi.
- Yalnızca HTTPS üzerinden kabul etmeli, kendi panellerinde; asla DM ya da e-posta ile değil.
- Sizin kendiniz, istediğiniz zaman sıfırlamanıza ya da silmenize izin vermeli, bunu sizin yerinize yapmaları için destek ekibine sormadan.
- Botu kaldırdığınızda ya da hesabı kapattığınızda veritabanından gerçekten silmeli, yalnızca kullanmayı bırakmakla kalmamalı.
Gerçek acil durum anahtarınız: token'ı sıfırlamak
Bu kısım evrensel Discord davranışıdır; herhangi bir barındırma sağlayıcısının kontrol ettiği bir şey değildir. Geliştirici Portalı'nda Token'ı Sıfırla'ya basmak, eski token'ı kullanıldığı her yerde anında geçersiz kılar. Kendi kodunuz, bir barındırma sağlayıcısı ya da izinsiz elde eden herkes bir sonraki yeniden bağlanma denemesinde bağlantısı kesilir ve eski değerle tekrar giriş yapamaz. Bu yüzden saygın bir barındırma sağlayıcısına token vermek, hissettirdiğinden daha az risk taşır: asla kilitli değilsiniz; istediğiniz zaman, herhangi bir nedenle, saniyeler içinde onların erişimini sonlandırabilirsiniz.
Noxyr bunu nasıl ele alıyor, bir örnek olarak
Noxyr'ın Özel Bot özelliği, tam özellik setini kendi bot adınız altında çalıştırmak için bir token ister. Şifreli saklanır; yalnızca web sitesi ve botunuzu çalıştıran belirli barındırma düğümü tarafından çözülebilir ve yapıştırdıktan sonra sizin ya da başka hiç kimsenin önüne bir daha gösterilmez. Token'ı yalnızca ilk yapıştıran kişi değiştirebilir; aynı sunucudaki diğer yöneticiler botun durumunu görebilir ama sizin adınıza farklı bir bot takamaz. Özel botunuzu silmek, saklanan token'ı tamamen kaldırır. Bir gün ayrılmak isterseniz, Geliştirici Portalı'nda token'ı sıfırlamak, bunu yaptığınız anda bağlantıyı keser; tıpkı diğer herhangi bir sağlayıcıda olduğu gibi.
Sağlayıcı kapanırsa ya da yine de ihlal edilirse ne olur?
Her şeyi doğru yapan bir sağlayıcı bile sonunda kötü bir gün geçirebilir: bir sunucu ihlal edilebilir, bir şirket uyarı vermeden kapanabilir. Gönüllü olarak ayrılmanızı sağlayan aynı sıfırlama, burada da sizi korur: bir sağlayıcının veritabanının açığa çıktığını düşünmek için herhangi bir sebebiniz olduğu anda, onların olay sonrası raporunu beklemeden token'ı sıfırlayın. Şifreli bir token ihlali, dakikalar içinde geçersiz kıldığınız bir token için, kimsenin döndürmediği bir token'a karşı aynı ihlalden çok daha küçük bir olaydır.
Uzaklaşmaya değer uyarı işaretleri
- Token'ı uygun bir panel formu yerine bir Discord DM'ine ya da destek sohbetine yapıştırmanızı istemek.
- Token'ı kendiniz sıfırlamanın, değiştirmenin ya da silmenin bir yolunu vermemek.
- Yapıştırma formunu HTTPS yerine düz HTTP üzerinden çalıştırmak.
- Saklanan token'ları ekiplerinde başka kimin görebileceği konusunda belirsiz olmak.
- Botun token'ı yerine ya da buna ek olarak kişisel Discord hesap şifrenizi istemek. Hiçbir meşru barındırma servisinin buna ihtiyacı yoktur.
Sık sorulan sorular
Bir sağlayıcı botumun sunucularını çalabilir mi? Hayır. Bir token, botu yeni bir yere davet edemez; bunun için her zaman ayrı OAuth2 akışı ve bir yöneticinin Yetkilendir'e tıklaması gerekir.
Bir sağlayıcı kullandıktan sonra botumu geri alabilir miyim? Evet. Geliştirici Portalı'nda token'ı sıfırlayın, sağlayıcının erişimi anında biter; önce onlardan bir şeyi silmelerini istemenize gerek yoktur.
Discord hesabımdaki iki faktörlü kimlik doğrulama token'ı korur mu? Hayır; bot token'ı, giriş bilgilerinizden ayrı bir kimlik bilgisidir. Burada gerçekten önemli olan tek kontrol, sıfırlamadır.
Kendi kendine barındırmak bir servis kullanmaktan doğası gereği daha güvenli midir? Otomatik olarak değil. Kendi sunucunuzdan sızan bir token, bir sağlayıcının veritabanından sızan token kadar tehlikelidir; güvenlik, süreci kimin çalıştırdığından değil, şifrelemeden ve kullanımdan gelir.
Bir token'ın sızdığını düşünürsem ne yapmalıyım? Başka hiçbir şeyi araştırmadan hemen sıfırlayın. Onu kimden aldığı ne olursa olsun, elinde bulunduran kişinin erişimini kesmenin en hızlı yoludur.
Bir token'ın nasıl oluşturulacağını ve sıfırlanacağını Discord bot token rehberimizde, Noxyr kurulumunun tam olarak nasıl çalıştığını ise Özel Bot dokümanlarında bulabilirsiniz.