Protection du panneau et anti-bot

Les serveurs sont plus souvent détournés non pas en « piratant l’hébergement », mais via un opérateur : quelqu’un vole le compte d’un assistant, et celui-ci dispose de /op, //set et /give. Voici le minimum pour mettre fin à cela.

1. Ne distribuez pas op

op ignore toutes les restrictions des plugins. Les permissions s’accordent via des groupes dans LuckPerms — Permissions, groupes et préfixes. Opérateurs : vous et, éventuellement, un second propriétaire.

L’étendue des actions d’un opérateur est également configurable : « Niveau de permission d’opérateur » dans les Paramètres avancés. 4 — tout, 1 — uniquement le contournement de la protection du spawn.

2. Verrouillez les commandes dangereuses

Même avec les permissions, certaines commandes doivent être refusées à tout le monde sauf à vous. Le plus simple est un plugin comme CommandWhitelist ou NoCheatCommands, mais LuckPerms fournit une base :

/lp group moderator permission set minecraft.command.op false
/lp group moderator permission set worldedit.* false

Une liste noire raisonnable pour tous sauf le propriétaire : op, deop, stop, whitelist off, //set, //replace, //regen, /give, /gamemode creative, les commandes reload des plugins, et « exécuter une commande en tant qu’un autre joueur ».

À part : nous n’installons pas de plugins offrant un accès au shell — l’exécution de commandes du système d’exploitation directement depuis le chat. C’est à la fois une faille de sécurité et un moyen de bloquer le serveur ; pour plus de détails, voir Comment installer des mods et des plugins.

3. Connexion administrateur avec mot de passe

Sur un serveur avec connexion par pseudo, un pseudo n’est vérifié par rien : n’importe qui peut se faire passer pour vous. Un plugin d’authentification est obligatoire, et pour les pseudos administrateurs il est judicieux d’activer une vérification supplémentaire — AuthMe prend en charge la liaison par IP et un second mot de passe pour les commandes administrateur. Voir Connexion par pseudo.

4. Bots

Un serveur public recevra tôt ou tard une vague de bots : des dizaines de connexions par seconde, des slots remplis, un TPS au sol. Ce qui aide :

• un plugin antibot (AntiBot, EpicGuard, BotSentry) — vérification à la connexion et limite de connexions par IP ;
• la connexion au réseau via un proxy Velocity — le filtre s’y trouve devant les backends ; voir Réseau de serveurs ;
• « Anti-flood de paquets » dans les paramètres avancés — des kicks pour les paquets envoyés trop fréquemment ;
• une whitelist temporaire pour attendre la fin de l’attaque.

La protection DDoS au niveau du canal est assurée de notre côté du réseau — vous n’avez rien à faire.

5. Voyez ce qui s’est passé

• Journal du serveur (la section « Automatisation et journal ») — qui, dans votre équipe, a fait quoi dans le panneau. Conservé pendant 90 jours.
• CoreProtect — ce que les joueurs ont fait dans le monde, y compris les commandes et le chat : Restauration après grief.
• Permissions d’accès au panneau — Comment donner accès à des amis : un invité reçoit des permissions distinctes, et non « un accès complet à tout ».

6. Sauvegardes

Tout ce qui précède échouera un jour. Les Sauvegardes sont effectuées automatiquement une fois par jour — assurez-vous de savoir où les restaurer avant d’en avoir besoin.