ボットトークンの保管方法

保存時の暗号化

ボットトークンは、ストレージに書き込まれる前に業界標準の認証付き暗号化で暗号化されます。この選択は認証情報にとって2つの有益な効果をもたらします。改ざんされた暗号文はゴミデータを返す代わりに復号に失敗し、同一のトークンでも保存時には異なって見えるため、万一ストレージを見た攻撃者がいても、どの2つのアカウントが同じ値を共有しているかはわかりません。

トークンを読み戻せるのは誰か

設計上、誰にもできません。TicketCordにはトークンを表示する管理画面はなく、私たちのスタッフも参照できません。新しいトークンが必要になったら、Discord Developer Portalでリセットして新しい値を貼り付けてください。誰かが古いトークンを読み取るような復旧経路は存在しません。

実行時には、ボットがDiscordにサインインするためにトークンを必要とします。この復号はサーバーサイドで、ボットの接続が続く間だけ行われ、平文がログに記録されたり、暗号化されずにネットワークへ送信されたりすることはありません。

同じ保護を受けるその他のデータ

技術的に認証情報にあたるものすべてです。ボットトークン、Discordアプリケーションシークレット、Webhook署名シークレット、そしてサーバーリストの取得に使うユーザーごとのOAuthトークンです。通常の設定、チケットのトランスクリプト、ナレッジベースの内容はインフラの管理策で保護されますが、認証情報用の鍵では暗号化されていません。

ボットトークンのローテーション

Discord Developer Portalでトークンをリセットし、新しい値をTicketCordに貼り付けてください。Discordが古いセッションを自動的に終了させ、次の接続時に新しいトークンを使い始めます。手順の詳細は最初のボットを作成するをご覧ください。