Discord-bottoken gelekt? Resetten en veilig bewaren

Bijgewerkt op 4 november 2026

Is de token van je Discord-bot uitgelekt, reset hem dan meteen in het Discord Developer Portal (je applicatie → Bot → Reset Token), zet de nieuwe token in je .env-bestand en herstart de bot. De oude token werkt niet meer zodra je hem reset, dus wie hem heeft, kan je bot niet langer besturen.

Gecontroleerd op 29 oktober 2026: GitHub noemt de Discord-bottoken (discord_bot_token) bij de soorten geheimen die secret scanning herkent, en Discord is sinds 2019 partner van GitHub token scanning. Een token die in een openbare repository belandt, wordt dus aan Discord gemeld.

Zo merk je dat je token is gelekt

• Je bot meldt ineens "An invalid token was provided" (discord.js) of "Improper token has been passed" (discord.py), terwijl je niets hebt veranderd. Een token die openbaar is gevonden, kan voor je worden gereset.
• Je bot stuurt berichten, DM's of verbant mensen zonder dat jij dat hebt geprogrammeerd.
• Je hebt je code naar een openbare GitHub-repository gepusht, in een helpkanaal geplakt of een screenshot gedeeld waarop de token te zien was.

In 5 minuten opgelost

1. Open het Discord Developer Portal, kies je applicatie en ga naar Bot.
2. Klik op Reset Token, bevestig en kopieer de nieuwe token. Je ziet hem maar één keer.
3. Open in SparkPanel Bestanden, open .env en vervang de oude waarde: DISCORD_TOKEN=je-nieuwe-token. Sla op.
4. Herstart je bot en kijk in de console: hij hoort weer in te loggen.
5. Kijk in je Discord-servers of er schade is: het auditlogboek (Serverinstellingen → Auditlogboek) laat zien wat de bot heeft gedaan.
6. Haal de token weg van de plek waar hij uitlekte (zie hieronder). Het resetten maakt je veilig; het weghalen is opruimwerk.

Houd de token uit je code

De token hoort in een .env-bestand, nooit in index.js, app.py of een configbestand dat je commit.

1. Maak .env met één regel: DISCORD_TOKEN=je-token.
2. Lees hem in je code: process.env.DISCORD_TOKEN met het pakket dotenv (Node.js) of os.getenv("DISCORD_TOKEN") met python-dotenv (Python).
3. Maak ernaast een bestand .gitignore met de regel .env, vóór je eerste commit. Dan uploadt Git hem nooit.
4. Zet een .env.example met DISCORD_TOKEN= (zonder waarde) in je repository, zodat anderen weten welke variabelen je bot nodig heeft.

Nieuwe botservers bij ServerSpark krijgen al een werkende starterbot die zijn token uit .env leest; zie Je Discord-bot 24/7 online zetten.

Al gecommit?

Het bestand weghalen in een nieuwe commit is niet genoeg: de token blijft in je Git-geschiedenis staan en iedereen kan hem daar nog vinden. Dus:

• Reset altijd eerst de token. Daarna is de oude in je geschiedenis waardeloos.
• Zet daarna .env in .gitignore en haal hem uit Git met git rm --cached .env.
• Wil je ook de geschiedenis schoon? Herschrijf die met een tool als git-filter-repo, of maak bij een klein project een nieuwe repository zonder token. Maak de repository privé als hij niet openbaar hoeft te zijn.

Andere plekken waar tokens uitlekken

• Screenshots en schermdelen van je code of het Developer Portal.
• Helpkanalen en pastebins: haal de token weg voordat je code plakt.
• Gratis hosts en online editors waar je project standaard openbaar is. Controleer de zichtbaarheid, of zie Replit, Render of Railway voor een Discord-bot?
• Logging: print de token nooit in je console.

Bot offline door iets anders?

Een verkeerde token is één van acht veelvoorkomende oorzaken; intents, crashes en geheugen zijn andere. Zie Discord-bot offline? 8 oorzaken en de oplossing. Je bot bij ons laten draaien kost €0,69 per maand bij betaling per kwartaal (€0,79 maandelijks, 512 MB RAM); zie Discord-bot hosting.

Veelgestelde vragen