Bezpečné uložení tokenu Discord bota

Token je heslo tvého bota. Kdo ho má, může bota plně ovládat – posílat zprávy, mazat kanály nebo banovat členy na všech serverech, kde bot je. Proto ho nikdy nepiš přímo do kódu a s nikým ho nesdílej.

1. Ulož token do .env

V kořenové složce bota vytvoř v Souborech soubor .env:

DISCORD_TOKEN=sem_vloz_svuj_token

Bez uvozovek a bez mezer kolem rovnítka.

2. Načti token v kódu

Node.js – přidej dotenv do dependencies v package.json (na VPS stačí npm install dotenv):

require('dotenv').config();
client.login(process.env.DISCORD_TOKEN);

Python – přidej python-dotenv do requirements.txt:

import os
from dotenv import load_dotenv

load_dotenv()
client.run(os.getenv("DISCORD_TOKEN"))

Podrobnosti najdeš v návodu Tajné údaje v .env.

3. Token nepatří na GitHub

Když kód verzuješ v Gitu, přidej do .gitignore:

.env
node_modules/
__pycache__/

Do repozitáře dej místo toho .env.example s prázdnou hodnotou, ať ostatní vědí, co vyplnit.

Smazání tokenu v dalším commitu nestačí – zůstává v historii repozitáře. Veřejné repozitáře navíc procházejí boti, kteří uniklé tokeny hledají. Token, který se dostal na GitHub, ber jako prozrazený a hned ho resetuj.

4. Reset tokenu

1. Otevři Discord Developer Portal a vyber svou aplikaci.
2. V sekci Bot klikni na Reset Token a potvrď (případně kódem dvoufázového ověření).
3. Nový token zkopíruj (zobrazí se jen jednou), vlož ho do .env a bota restartuj.

Starý token okamžitě přestane fungovat. Discord může token, který najde zveřejněný, zneplatnit i sám. Bot pak při startu hlásí neplatný token (discord.js: An invalid token was provided, discord.py: Improper token has been passed) – stačí vygenerovat nový.

Token nevkládej ani do tiketu nebo na Discord. Pro pomoc stačí popis chyby a výpis z konzole, ve kterém token zakryješ.

Spuštění bota: discord.js a discord.py.