Où obtenir des plugins et comment éviter un virus

Un plugin est un code exécutable disposant d'un accès complet au serveur : fichiers, console et réseau. La source importe plus que la fonctionnalité.

Où les obtenir

• SpigotMC et Hangar (la plateforme de Paper) — les principales.
• Modrinth — plugins et mods, modération rigoureuse.
• BuiltByBit — plugins payants, une place de marché officielle.
• GitHub Releases directement auprès du développeur.
• Le catalogue du panneau Millida : la build est installée depuis la source officielle.

Ce qu'il faut éviter

• Les plugins premium « leakés » provenant de forums. C'est le moyen le plus courant de diffuser des backdoors : le plugin fonctionne et ouvre aussi l'accès à votre serveur.
• Les fichiers reçus en message privé et sur Discord « de la part d'un ami ».
• Les builds « tout-en-un » contenant des dizaines de plugins d'origine inconnue.

Signes d'un problème

• Des connexions sortantes inconnues dans le log.
• De nouveaux opérateurs que vous n'avez pas attribués.
• Des fichiers .jar que vous n'avez pas installés.
• Des commandes dans la console que personne n'a saisies.

Que faire en cas de doute

1. Arrêtez le serveur.
2. Faites une copie pour analyse.
3. Supprimez les plugins et fichiers inconnus.
4. Changez les mots de passe : panneau, RCON, base de données, jetons de bot.
5. Vérifiez ops.json et les permissions — ops.json, LuckPerms.

Pour en savoir plus sur la protection des accès — Protection du panneau d'administration, Sécurité du compte.