Sécuriser votre serveur Minecraft : whitelist, droits et DDoS

Un serveur Minecraft personnel se monte vite : générer le monde, envoyer l'adresse aux amis, et c'est parti. La sécurité n'arrive souvent à l'ordre du jour qu'ensuite — généralement au moment précis où un joueur inconnu a détruit le spawn ou où quelqu'un avec trop de droits "testait juste un truc". Dommage, car les mesures les plus importantes ne vous coûtent qu'une soirée et sont toutes gratuites.

Une bonne sécurité fonctionne par couches. Passons-les en revue une à une : qui entre (whitelist et ops), ce que les joueurs peuvent faire (droits via LuckPerms), ce que vous faites quand ça tourne quand même mal (sauvegardes) et ce qui se passe en dehors de votre serveur (attaques DDoS, et ce que MC-Node intercepte par défaut).

Commencez par la porte d'entrée : whitelist et ops

La grande majorité des ennuis sur les petits serveurs passent par la porte d'entrée : quelqu'un qui n'a rien à y faire, ou quelqu'un qui peut faire bien plus que nécessaire. Ces deux points se règlent en cinq minutes et rapportent immédiatement le plus.

Activer la whitelist

Avec une whitelist, seuls les joueurs que vous avez mis sur la liste peuvent entrer. Pour un serveur entre amis ou une petite communauté, il n'y a franchement aucune bonne raison de la laisser désactivée. Elle s'active dans la console ou en jeu :

• /whitelist on — active la whitelist
• /whitelist add Spelersnaam — ajoute un joueur
• /whitelist remove Spelersnaam — retire un joueur de la liste

Dans server.properties, mettez aussi enforce-whitelist sur true. Les joueurs retirés de la liste sont alors immédiatement expulsés du serveur, au lieu de pouvoir continuer à s'y promener jusqu'à ce qu'ils se déconnectent d'eux-mêmes.

Soyez avare avec /op

Donner /op à un joueur semble anodin, mais les droits op sont quasi illimités : arrêter le serveur, bannir des joueurs, changer de gamemode, faire apparaître des objets. Un seul compte partagé ou un ami qui comprend mal une commande, et vous passez la soirée à tout remettre en ordre. Un bon principe : seul vous, le propriétaire, avez op ; tous les autres reçoivent exactement les droits nécessaires via un plugin de permissions. Sur un serveur public, ce n'est pas un luxe mais une nécessité.

Gérer les droits proprement avec LuckPerms

LuckPerms est le standard de fait pour la gestion des droits sur les serveurs Minecraft : gratuit, activement maintenu et bien plus lisible que des ops éparpillés et des fichiers de configuration modifiés çà et là. L'idée est simple : vous créez des groupes (par exemple default, moderator et admin), vous attachez des permissions à ces groupes et vous placez les joueurs dans le bon groupe.

Une configuration minimale ressemble à ceci :

1. Installez LuckPerms et redémarrez votre serveur.
2. Créez un groupe : /lp creategroup moderator
3. Donnez un droit au groupe, par exemple expulser : /lp group moderator permission set minecraft.command.kick true
4. Placez un joueur dans le groupe : /lp user Spelersnaam parent set moderator

Heureusement, inutile d'apprendre par cœur tous les nœuds de permission : avec /lp editor, vous ouvrez un éditeur web où vous cliquez sur les groupes, droits et joueurs au lieu de tout taper. Commencez petit — un groupe default sans privilèges particuliers et un seul groupe modérateur — et n'étendez que quand votre communauté grandit. Moins vous empilez d'exceptions, moins il y a de choses qui peuvent casser et plus il est facile de retrouver plus tard qui peut faire quoi.

Sauvegardes : votre filet de sécurité si ça tourne mal

La sécurité réduit la probabilité des problèmes ; les sauvegardes réduisent les dégâts. Et ces dégâts ne viennent pas toujours de personnes malveillantes : un monde corrompu après un crash, une mise à jour de plugin qui vide votre économie ou l'écrasement accidentel du mauvais fichier arrivent en pratique plus souvent que le griefing.

Quelques règles d'or qui font leurs preuves encore et encore :

• Automatiques et régulières. Une sauvegarde à laquelle vous devez penser vous-même n'est pas une sauvegarde. Planifiez-la quotidiennement dès que votre serveur est activement fréquenté.
• Avant chaque changement majeur. Nouveau plugin, mise à jour de version, autre générateur de monde ? D'abord une sauvegarde, ensuite seulement les clics.
• Conservez une copie hors du serveur. Téléchargez de temps en temps une sauvegarde sur votre propre ordinateur ou dans le cloud. Si quelque chose tourne vraiment mal, vous avez toujours une version ailleurs.
• Testez la restauration. Une sauvegarde que vous n'avez jamais restaurée est un pari. Essayez-le une fois à un moment calme ; vous saurez ainsi exactement quels boutons trouver sous pression.

Vérifiez aussi ce que votre hébergeur propose sur ce plan. Chez MC-Node, vous gérez votre serveur via un panneau de contrôle, si bien que vous n'avez pas besoin de scripts maison ni de sessions FTP pour vos sauvegardes.

Attaques DDoS : ce que MC-Node intercepte par défaut

Une attaque DDoS n'a rien à voir avec vos réglages : quelqu'un envoie tant de trafic vers votre serveur que les joueurs légitimes ne peuvent plus s'y connecter. Les serveurs Minecraft sont hélas une cible populaire — parfois par rancune après un ban, parfois simplement parce que c'est possible.

Vous ne pouvez pas faire grand-chose vous-même ; c'est ici que votre hébergeur doit faire le travail. Chez MC-Node, la protection anti-DDoS est incluse par défaut dans chaque formule, sans supplément ni module séparé. Les attaques sont filtrées en bordure du réseau avant d'atteindre votre serveur, et les serveurs eux-mêmes tournent sur du matériel dédié dans le datacenter Previder PDC2 à Hengelo.

Soyons honnêtes : aucune protection ne rend les attaques totalement invisibles. Lors d'une grosse attaque, quelque chose peut être perceptible un court instant avant que les filtres n'écartent tout. Et la protection anti-DDoS ne fait rien contre les problèmes qui naissent dans le jeu — aucun filtre réseau n'arrête un compte op compromis ou un plugin malveillant. C'est pourquoi les étapes précédentes restent tout aussi importantes.

Cinq petits réglages qui changent beaucoup

Pour finir, une liste d'ajustements qui prennent peu de temps mais évitent ensemble bien des ennuis :

• Utilisez un mot de passe fort et unique pour votre panneau de contrôle et activez la validation en deux étapes quand c'est possible. Qui accède à votre panneau peut tout faire — y compris supprimer vos sauvegardes.
• Laissez online-mode sur true. Les comptes des joueurs sont ainsi réellement vérifiés et personne ne peut entrer avec un pseudonyme usurpé. Si vous tournez derrière un proxy comme Velocity, c'est différent : le proxy reprend alors ce contrôle.
• N'installez des plugins que depuis des sources officielles comme SpigotMC, Hangar ou Modrinth. Les versions "gratuites" de plugins payants sur des sites de téléchargement douteux contiennent régulièrement des malwares.
• Supprimez ce que vous n'utilisez pas. Chaque plugin est une surface d'attaque supplémentaire et une chose de plus qui peut casser lors d'une mise à jour.
• Protégez votre spawn. La spawn-protection dans server.properties ou un plugin de claim évite qu'un nouveau joueur ne démolisse votre bâtiment de spawn en deux minutes.

Quelle formule pour un serveur sécurisé ?

Bonne nouvelle : la sécurité ne dépend pas de votre choix de formule. Whitelist, LuckPerms et sauvegardes fonctionnent sur toutes les formules, et la protection anti-DDoS est incluse partout chez MC-Node. Le choix dépend donc surtout du nombre de joueurs et de plugins que vous prévoyez. Un aperçu des formules Minecraft, avec à côté de la gamme standard la variante Premium :

Toutes les formules tournent sur du stockage NVMe et sont résiliables chaque mois : commencer petit et monter en gamme plus tard est donc toujours possible. Vous trouverez l'offre complète et les spécifications de chaque formule dans la boutique Minecraft de MC-Node.

Activez la whitelist et lancez votre première sauvegarde dès aujourd'hui — c'est quatre-vingt-dix pour cent du travail. Le reste se construit tranquillement à mesure que votre serveur grandit.