Có, đưa token bot Discord cho một dịch vụ hosting là an toàn, miễn là nhà cung cấp lưu trữ token ở dạng mã hóa, không bao giờ hiển thị lại cho bạn sau khi bạn dán vào, và cho phép bạn cắt quyền truy cập ngay lập tức bằng cách đặt lại token trong Developer Portal. Việc đặt lại đó mới là tấm lưới an toàn thực sự. Nó quan trọng hơn việc tin tưởng mù quáng vào nhà cung cấp, vì nó hoạt động bất kể ai đang giữ token.
Token bot thực sự cho phép ai đó làm gì
Token là cách mã của bạn đăng nhập với tư cách bot và xác thực các yêu cầu API của nó. Ai có token có thể đăng tin nhắn, đọc những gì bot nhìn thấy, và thực hiện bất kỳ hành động nào mà quyền của bot cho phép trong mọi máy chủ mà nó đã tham gia. Điều token không thể làm là thêm bot vào một máy chủ mới; việc đó cần một liên kết mời OAuth2 riêng và sự chấp thuận của quản trị viên máy chủ. Token bị rò rỉ hoặc bị lạm dụng là một vấn đề thật trong các máy chủ mà bot đã có mặt, nhưng nó không phải là chìa khóa vạn năng để mở toàn bộ sự hiện diện của bạn trên Discord.
Rủi ro thật không nằm ở việc đưa token, mà ở cách nó được lưu trữ sau đó
Dán token vào ô trên bảng điều khiển của nhà cung cấp hosting qua HTTPS không khác biệt đáng kể so với việc dán mật khẩu vào bất kỳ biểu mẫu đăng nhập nào. Rủi ro thực sự quan trọng là điều gì xảy ra với nó sau đó: nó có được lưu dạng văn bản thuần ở đâu đó mà một lỗi hoặc nhân viên bất cẩn có thể đọc được không, nó có xuất hiện trong nhật ký không, nhân viên hỗ trợ có thể tra cứu và xem nó không. Đó là những câu hỏi về lưu trữ và xử lý, chứ không phải câu hỏi về hành động chia sẻ.
Một nhà cung cấp đáng tin cậy nên làm gì
- Lưu trữ ở dạng mã hóa khi đang nằm yên, không phải dạng văn bản thuần trong một cột cơ sở dữ liệu mà bất kỳ ai có quyền đọc đều có thể sao chép.
- Không bao giờ hiển thị lại cho bạn sau khi bạn đã lưu một lần, giống như một ô mật khẩu không tiết lộ những gì bạn đã gõ.
- Chỉ chấp nhận qua HTTPS, trong chính bảng điều khiển của họ, không bao giờ qua tin nhắn riêng hay email.
- Cho phép bạn tự đặt lại hoặc xóa, bất cứ lúc nào, mà không cần nhờ bộ phận hỗ trợ làm giúp.
- Thực sự xóa khỏi cơ sở dữ liệu của họ khi bạn gỡ bot hoặc đóng tài khoản, chứ không chỉ ngừng sử dụng.
Công tắc tắt thật sự của bạn: đặt lại token
Phần này là hành vi chung của Discord, không phải thứ mà bất kỳ nhà cung cấp riêng lẻ nào kiểm soát. Nhấn Reset Token trong Developer Portal sẽ vô hiệu hóa token cũ ngay lập tức, ở mọi nơi nó đang được sử dụng. Mã của chính bạn, một nhà cung cấp hosting, hay bất kỳ ai lấy được nó mà không được phép sẽ bị ngắt kết nối ở lần kết nối lại tiếp theo và đơn giản là không thể đăng nhập lại bằng giá trị cũ. Đó là lý do đưa token cho một nhà cung cấp uy tín mang ít rủi ro hơn cảm giác của bạn: bạn không thực sự bị ràng buộc, bạn có thể chấm dứt quyền truy cập của họ trong vài giây bất cứ lúc nào, vì bất kỳ lý do nào.
Noxyr xử lý việc này như thế nào, làm một ví dụ
Bot tùy chỉnh của Noxyr yêu cầu một token để chạy toàn bộ bộ tính năng dưới tên bot của riêng bạn. Token được lưu ở dạng mã hóa, chỉ website và node hosting cụ thể đang chạy bot của bạn mới có thể giải mã, và nó không bao giờ được hiển thị lại cho bạn hay bất kỳ ai khác sau khi bạn dán vào. Chỉ người đã dán token ban đầu mới có thể thay thế nó; các quản trị viên khác trên cùng máy chủ có thể xem trạng thái của bot nhưng không thể đổi sang một bot khác dưới tên của bạn. Xóa bot tùy chỉnh của bạn sẽ gỡ bỏ hoàn toàn token đã lưu. Nếu bạn muốn rút lui, việc đặt lại token trong Developer Portal sẽ ngắt kết nối ngay khi bạn làm vậy, giống hệt như với bất kỳ nhà cung cấp hosting nào khác.
Điều gì xảy ra nếu nhà cung cấp ngừng hoạt động hoặc vẫn bị xâm nhập?
Ngay cả một nhà cung cấp làm mọi thứ đúng cũng có thể gặp một ngày tồi tệ: máy chủ bị xâm nhập, công ty đóng cửa mà không báo trước. Cùng cơ chế đặt lại cho phép bạn rời đi khi muốn cũng là thứ bảo vệ bạn trong trường hợp này: ngay khi bạn có bất kỳ lý do nào để nghi ngờ cơ sở dữ liệu của nhà cung cấp đã bị lộ, hãy đặt lại token trước khi chờ báo cáo sau sự cố của họ. Một vụ xâm nhập vào token đã mã hóa mà bạn vô hiệu hóa trong vòng vài phút là sự cố nhỏ hơn nhiều so với cùng vụ xâm nhập nhưng nhắm vào một token không ai xoay vòng.
Các dấu hiệu cảnh báo đáng để rời đi
- Yêu cầu bạn dán token vào tin nhắn riêng trên Discord hoặc trong một cuộc trò chuyện hỗ trợ thay vì một biểu mẫu bảng điều khiển đúng cách.
- Không cho bạn cách nào để tự đặt lại, thay thế hoặc xóa.
- Chạy biểu mẫu dán qua HTTP thường thay vì HTTPS.
- Mơ hồ về việc những ai khác trong đội của họ có thể xem các token đã lưu.
- Yêu cầu mật khẩu tài khoản Discord cá nhân của bạn thay vì, hoặc ngoài, token của bot. Không có dịch vụ hosting hợp pháp nào cần điều đó.
Câu hỏi thường gặp
Nhà cung cấp hosting có thể lấy các máy chủ của bot tôi không? Không. Token không thể mời bot vào bất kỳ nơi mới nào; việc đó luôn cần luồng OAuth2 riêng và một quản trị viên nhấn Authorize.
Tôi có thể lấy lại bot sau khi dùng một nhà cung cấp không? Có. Đặt lại token trong Developer Portal và quyền truy cập của nhà cung cấp sẽ kết thúc ngay lập tức, không cần yêu cầu họ xóa bất cứ thứ gì trước.
Xác thực hai yếu tố trên tài khoản Discord của tôi có bảo vệ token không? Không, token bot là một thông tin xác thực riêng biệt với đăng nhập của bạn. Đặt lại nó là biện pháp kiểm soát duy nhất thực sự quan trọng ở đây.
Tự lưu trữ có vốn dĩ an toàn hơn dùng nhà cung cấp không? Không tự động. Một token bị rò rỉ từ máy chủ của chính bạn nguy hiểm y như một token bị rò rỉ từ cơ sở dữ liệu của nhà cung cấp; sự an toàn đến từ mã hóa và cách xử lý, không phải từ việc ai đang vận hành tiến trình.
Tôi nên làm gì nếu nghi ngờ một token đã bị rò rỉ? Đặt lại ngay lập tức, trước khi điều tra bất cứ thứ gì khác. Đây là cách nhanh nhất để cắt đứt quyền truy cập của bất kỳ ai đang giữ nó, bất kể họ lấy từ đâu.
Xem hướng dẫn đầy đủ về token bot Discord của chúng tôi để biết cách tạo và đặt lại token, hoặc tài liệu Bot tùy chỉnh để biết chính xác cách thiết lập của Noxyr hoạt động.