حماية الرموز

رمز البوت كلمة مرور. من يملكه يتصرف باسم بوتك في كل سيرفر هو فيه.

القواعد

1. أبعد الرمز عن كودك. اقرأه من متغير بيئة أو مخزن أسرار.
2. لا تضعه أبدًا في Git أو لقطة شاشة أو محادثة أو طلب دعم.
3. لا تسجله أبدًا في السجلات. سجّل معرّف البوت بدلًا منه.
4. استخدم Authenticate في البوابة لا ?token= في العنوان: فالعناوين تنتهي في السجلات.
5. شغّل البوت برمز خاص به. استخدم بوتًا ثانيًا للاختبار.

أبعده عن Git

echo ".env" >> .gitignore
echo "ZRZUR_BOT_TOKEN=YOUR_BOT_TOKEN" > .env
node --env-file=.env full-bot.mjs

node --env-file مدمج في Node 22.

إذا تسرب الرمز

1. افتح تطبيقك في بوابة المطورين، تبويب نظرة عامة، واختر إعادة تعيين الرمز.
2. أكّد هويتك. يتوقف الرمز القديم فورًا، وتنتهي الاتصالات المفتوحة.
3. ضع الرمز الجديد في مخزن الأسرار وأعد تشغيل البوت.
4. اقرأ سجل التدقيق في السيرفر لتعرف ما فعله البوت. تظهر أفعال بوتك والبوت هو الفاعل.

اعتبر الرمز الذي وُضع في مستودع عام مسروقًا، حتى لو أزلته بعد دقيقة.

أسرار أخرى

احمِ من يستخدم بوتك

• لا تثق بشيء في رسالة أو custom_id أو نموذج كأنه منك. من يرى الزر يستطيع إرسال ما يرسله الزر.
• قبل أن تتصرف باسم شخص، افحص user_permissions_string. صلاحيات البوت ليست صلاحياته.
• امنع الذكر في مخرجاتك بـallowed_mentions في الويب هوك، أو بعدم تكرار نص لم تكتبه.
• خزّن أقل قدر ممكن. احذف بيانات المستخدم عند UserPlatformWipe، وبيانات السيرفر عند مغادرة البوت.
• لا تطلب إلا نيّات الاتصال والصلاحيات التي تستخدمها.

التالي

• التشغيل الفعلي
• المصادقة