Які права в Discord небезпечно видавати — і як перевірити свій сервер

Сервер викрадають не хакери. Його викрадає людина, якій ви самі щось видали — модератор, помічник, «свій» бот. Зазвичай не зі зла: хтось натиснув не туди, хтось загубив акаунт, хтось пішов із команди, а права лишилися.

Хороша новина: майже всі такі історії ловляться однією перевіркою на п'ять хвилин. Розберемо, які права в Discord справді небезпечні, чому звичні поради на кшталт «просто не давайте адмінку» не працюють, і як перевірити свій сервер.

Одразу зауважимо: усе описане нижче можна зробити руками, і чек-лист наприкінці написаний саме так. Але якщо повторювати це щомісяця немає часу, перевірка автоматизується — PULSORT сам проходить по всіх ролях і каналах, показує небезпечні місця списком і пропонує виправлення в одне натискання. Посилання на конкретні інструменти будуть далі за текстом.

Адміністратор — це не «багато прав». Це всі права одразу

Administrator у Discord влаштований інакше, ніж здається. Це не галочка «побільше можливостей» — це обхід усієї системи прав цілком.

Учасник із цим правом:

• бачить будь-який канал, навіть закритий особисто від нього — налаштування каналу на нього не діють;
• може видати собі й будь-кому будь-яку роль, нижчу за свою;
• видаляє канали, ролі та повідомлення без обмежень;
• банить будь-кого, хто нижчий за нього в ієрархії.

Окремо важливо: заборони на нього не діють. Можна скільки завгодно забороняти адміністратору вхід у приватний канал — він усе одно там буде. Discord навіть не перевірятиме заборону.

Тимчасова видача — прийом робочий і подеколи виправданий: разово налаштувати структуру сервера так швидше, ніж розставляти два десятки прав вручну. Ризик не в самій видачі, а в тому, що про неї забувають — право лишається на місяці, і ніхто вже не пам'ятає навіщо.

Тому у тимчасового доступу має бути явний кінець: завдання виконано — право знято одразу ж. Добре, коли інструмент сам про це нагадує: у PULSORT після операції, яка потребувала підвищених прав, ми пропонуємо зняти Administrator назад одним натисканням, а не лишаємо це на пам'ять власника.

Як правило: постійний Administrator — тільки у власника. Модератору потрібні три-чотири конкретні права, а не всі одразу.

Чотири права, які тихо віддають сервер

Є права, які виглядають безневинно, але по суті дорівнюють адміністратору. Їх часто роздають, не замислюючись.

Керування ролями. Дозволяє створювати ролі та видавати їх — будь-які, що нижчі за власну. Модератор із цим правом може зібрати собі роль із потрібними правами й видати її. Формально адмінку ви не давали. Фактично — дали.

Керування вебхуками. Вебхук — це можливість писати в канал від будь-якого імені та з будь-якою аватаркою. Людина з цим правом створює вебхук, а потім надсилає від імені «Адміністрації» що завгодно: фальшиве оголошення, посилання на фішинг. У логах це виглядає як повідомлення бота, а не як її дія. Плюс вебхук продовжує працювати після того, як людина пішла із сервера — доки ви не видалите його руками.

Керування каналами. Не тільки «перейменувати». Це ще й видалити канал разом з усією історією, і змінити права доступу так, щоб ви самі перестали щось бачити.

Згадка @everyone. Саме по собі не руйнівне, але це гучномовець. У зв'язці зі зламаним акаунтом дає миттєву розсилку по всьому серверу.

Ієрархія ролей — те, що ламається найчастіше

У Discord роль діє тільки на тих, хто нижче у списку ролей. Це правило породжує дві класичні помилки.

Бот нижче за порушників. Ви налаштували модерацію, а бот не може забанити рейдера — бо роль бота лежить у списку нижче за його роль. Усе налаштовано правильно, але не працює. Перевіряється миттєво: роль бота має бути вище за всі ролі, якими він керує.

Модератор нарівні з модератором. Двоє людей з однаковою роллю не можуть нічого зробити одне одному. Зазвичай це не проблема — до дня, коли один акаунт викрадають, і другий не може його зупинити.

Права нікуди не зникають разом із роллю

Найбільш недооцінена частина. Ви забрали в людини роль — і вважаєте питання закритим. Але частина доступів живе окремо:

• вебхуки, які вона створила, продовжують працювати;
• боти, яких вона запросила, лишаються зі своїми правами;
• особисті дозволи на канал — якщо право видавали не ролі, а конкретній людині, зняття ролі нічого не змінить;
• сторонні панелі та інтеграції часто тримають свою копію списку доступів і оновлюють її не одразу.

Останній пункт стосується і нас. Ми нещодавно лагодили в себе саме це: панель керування визначала доступ за збереженим у себе списком, і знята в Discord роль не відкликала його автоматично. Тепер панель перевіряє права наново, а не вірить своєму запису. Якщо користуєтеся будь-яким зовнішнім дашбордом — варто перевірити, як швидко він реагує на зняття ролі.

Перевірка на п'ять хвилин

Пройдіться списком просто зараз:

1. Налаштування сервера → Ролі. У кого стоїть Administrator? Якщо це не ви — імовірно, дарма.
2. Хто має керування ролями та керування вебхуками? Ці два права тримайте на мінімумі.
3. Інтеграції → Вебхуки. Є незнайомі? Видаляйте — робочі завжди можна створити заново.
4. Список ролей. Роль бота вище за тих, ким він керує?
5. Приватні канали. Відкрийте права каналу й подивіться вкладку учасників: чи немає там людей, доданих персонально й давно забутих?
6. Боти. Чи кожен із них ще потрібен? Непотрібний бот із правами — це відчинені двері.

Окремо: увімкніть логування. Воно не запобігає проблемі, але без нього ви не дізнаєтеся, хто і коли щось зробив — а саме цього бракує, коли вже сталося.

Як не робити це руками щомісяця

Перевірка вище працює, але її потрібно повторювати: ролі змінюються, люди приходять і йдуть. Ми автоматизували її в PULSORT — із застереженням, що вона корисна й без нас, якщо пройти чек-лист самому.

• Аудит прав ролей — проходить по всіх ролях і каналах сервера та показує небезпечні поєднання: у кого зайва адмінка, кому дісталося керування ролями чи вебхуками, де @everyone може більше, ніж має. До кожної знахідки пропонується виправлення в одне натискання.
• Логування — фіксує, хто видав роль, видалив канал, забанив учасника. З ім'ям, часом і можливістю подивитися, що було до.
• Верифікація та антирейд — щоб до роздачі прав справа не доходила взагалі: масові заходи й підозрілі акаунти відсікаються на вході.
• Видача доступу до панелі — якщо помічнику потрібно керувати одним модулем, йому не потрібні права на сервері. Доступ видається точково й лише до панелі.

Перевірити свій сервер можна безкоштовно: базовий план безстроковий, аудит прав входить у PRO. Почати — на pulsort.gg.

Коротко

Небезпечні не хакери, а забуті права. Постійний Administrator тримайте лише в себе, а тимчасовий — знімайте одразу після справи. Керування ролями та вебхуками — тільки тим, кому довіряєте як собі. Пам'ятайте, що вебхуки й запрошені боти переживають зняття ролі. І увімкніть логи заздалегідь — вони потрібні не тоді, коли все добре.

---

Що таке PULSORT і чому він такий гарний?

PULSORT — це бот і панель керування сервером в одному. Більше ніж 30 модулів, і всі налаштовуються на сайті мишкою: без команд у чаті, без правки конфігів і без читання документації на кожну дрібницю. Аудит прав, про який ішлося вище, — лише один із них.

Базовий план безкоштовний і безстроковий, тож подивитися можна без зобов'язань. Нижче — що ще вміє бот.