EASYBOT GUIDE
Discord Bot Tokenが漏れた時のリセット手順と予防策
Bot TokenをGitHubやZIPへ公開してしまった時に、無効化、再発行、ログ調査、環境変数への移行を行う手順を紹介します。
Discord Bot TokenはBotへログインできる秘密鍵です。公開された疑いがあれば、ファイルから消すだけでは不十分で、Developer Portalから古いTokenを無効化して新しい値へ交換します。
すぐにTokenを失効する
漏えいしたTokenを使える状態のまま調査を続けないでください。Developer Portalでリセットし、Botが新しいTokenでログインすることを確認します。
- 対象ApplicationをDeveloper Portalで開く
- Bot設定からTokenをリセットする
- 新Tokenを秘密情報ストアへ登録する
漏れた場所を確認する
ソースコード、ZIP、Git履歴、ログ、スクリーンショット、共有チャットなどを調べます。Gitから履歴を削除しても、Tokenが有効なら漏えい状態は解消しません。
- 公開リポジトリやアップロード済みZIPを確認する
- ログやエラー報告に値が含まれていないか見る
- 古い値を参照するデプロイ設定を更新する
Botの挙動を確認
漏えい期間のBot操作、サーバー設定、送信メッセージを確認します。不審な操作があれば、Botを停止し、関係するサーバーの管理者へ共有します。
- Discordの監査ログを確認する
- 身に覚えのない権限やWebhookを調べる
- 必要に応じてBotを一時停止する
再発を防ぐ
Tokenは.envやホスティングの秘密情報機能で管理し、Gitへ追加しないようにします。ログや画面に値を表示せず、利用者ごとに異なる秘密情報を保存します。
- .envを.gitignoreへ登録する
- ZIPとバックアップから秘密鍵を除外する
- 最小限の権限と定期的な鍵更新を使う