client.login("MTIz...") dans index.js livre votre bot à quiconque peut lire le dépôt, et une commande !say qui exécute message.channel.send(args.join(" ")) permet à n'importe quel membre de faire mentionner @everyone par le bot. Cette skill détecte ces erreurs et les autres erreurs de bots Discord listées ci-dessous avant que vous ne lanciez ou publiiez le bot, et vous indique comment corriger chacune d'elles.

Votre agent exécute un scanner sur vos projets discord.js et discord.py (y compris les forks py-cord, nextcord et disnake), sur les endpoints d'interactions HTTP en Node ou Python, ainsi que sur leurs fichiers .env, de configuration, package.json, requirements et README. Il reconnaît les formats de tokens et de webhooks de Discord (et ignore le token d'exemple documenté par Discord lui-même), suit le texte des messages, des arguments de commandes et des options de commandes slash à travers les affectations, sait que les réponses aux interactions et les webhooks ne mentionnent que les utilisateurs par défaut, et lit l'ensemble du projet avant de juger un fichier : un allowedMentions au niveau du client, une vérification de signature dans un middleware, un intent utilisé dans un autre fichier. Il lit vos fichiers .gitignore, de sorte qu'un token dans un config.json ou un .env ignoré par git n'est pas signalé comme une fuite, et il liste au maximum 50 résultats par règle et par fichier. Il n'exécute jamais votre bot et ne contacte pas Discord. Il renvoie BLOCK, REVIEW ou NOT FLAGGED, avec le fichier, la ligne, la raison et une approche plus sûre. Les secrets ne sont jamais affichés.

Ce qui est vérifié

BLOCK (à corriger avant la mise en ligne)

• D01 : tokens de bot, tokens de comptes utilisateur, client secrets et autres valeurs portant un nom de secret dans des fichiers que git va committer, y compris les littéraux passés à client.login() ou bot.run()
• D02 : URL de webhooks avec leur token dans des fichiers que git va committer
• D03 : endpoints d'interactions HTTP et handlers serverless qui répondent au PING de Discord mais n'appellent jamais de vérification de signature Ed25519
• D04 : eval, new Function, le module vm, exec ou des commandes shell alimentés par le texte des messages, les arguments de commandes ou les options de commandes slash, sans vérification de l'ID du propriétaire du bot

REVIEW (à contrôler avant la publication)

• D11 : texte utilisateur envoyé comme message normal sans limitation des mentions autorisées (allowed mentions) ni nettoyage
• D12 : commandes de bannissement, d'expulsion, d'exclusion temporaire, de suppression en masse ou de purge sans vérification des permissions du membre
• D13 : intents privilégiés (Message Content, Server Members, Presence, Intents.all()) qu'aucun code scanné n'utilise
• D14 : handlers messageCreate ou on_message qui envoient des messages sans ignorer les bots
• D15 : liens d'invitation du bot, generateInvite ou oauth_url demandant les droits Administrator
• D16 : tokens ou secrets écrits dans des appels console, logger, print ou logging
• D17 : bibliothèques de self-bots (discord.js-selfbot-v13, discord.py-self, selfcord, discum) ou self_bot=True
• D18 : commandes eval ou shell réservées au propriétaire du bot, et l'extension jishaku

Ce qui est inclus

• Le scanner (Python 3.9+, bibliothèque standard uniquement)
• Un guide des règles avec la raison, une approche plus sûre et un lien vers la documentation officielle pour chaque règle
• Un projet d'exemple à risque et un projet sûr, ainsi que le rapport réel produit par le scanner sur le projet à risque

Limites

Il lit chaque fichier tel qu'il est écrit et suit le texte du chat à travers des affectations simples dans le même fichier et les paramètres de commandes discord.py, mais pas à travers des fonctions utilitaires situées dans d'autres fichiers. Les vérifications de permissions dans des décorateurs ou middlewares personnalisés aux noms inhabituels peuvent ne pas être reconnues. L'utilisation des intents est évaluée à partir des fichiers scannés : scannez donc l'ensemble du projet. Les permissions de commandes modifiées par les administrateurs du serveur, les paramètres du Developer Portal et les permissions réelles du rôle du bot ne sont pas visibles dans le code, et l'historique git n'est pas lu. Les bibliothèques autres que discord.js, discord.py et ses forks (comme Eris, hikari, discordgo ou JDA) ne sont pas vérifiées. NOT FLAGGED n'est pas une garantie.

Contenu

Un fichier ZIP de 25 fichiers : SKILL.md, le scanner dans scripts/ (6 fichiers Python), references/rules.md (chaque règle avec sa raison et une approche plus sûre) et examples/ (16 fichiers d'exemple plus report.md, la sortie réelle du scanner sur l'exemple à risque).

Mode d'emploi : Il s'agit d'une skill pour agent : un dossier contenant un fichier SKILL.md et des scripts Python qu'un agent de programmation IA comme Claude Code, Cursor ou Codex CLI peut exécuter. Décompressez-le dans le dossier des skills de votre agent (pour Claude Code : ~/.claude/skills/), puis demandez à votre agent de vérifier votre projet. Les scripts fonctionnent aussi seuls avec Python 3.9 ou une version plus récente, sans rien à installer. Ils se contentent de lire vos fichiers : aucun accès réseau, et rien n'est envoyé nulle part.