sécuriser votre serveur
Si quelqu'un que vous n'avez pas invité est entré, n'importe qui trouvant le serveur peut sans doute le rejoindre. Sécurisez-le d'abord, puis vérifiez ce qui s'est passé pendant qu'il était ouvert.
Sécuriser le serveur
Ouvrez la console de votre serveur, dans le panel de votre hébergeur ou dans la fenêtre où tourne le serveur. Si un joueur inconnu est encore connecté, expulsez et bannissez ce compte avec ban PlayerName. Sur un serveur en mode hors ligne, il peut revenir sous un autre pseudo, donc l'étape d'authentification ci-dessous reste importante.
1. Activer la whitelist
Ajoutez d'abord votre propre compte, activez la whitelist, puis ajoutez toutes les autres personnes qui doivent avoir accès.
# server console
whitelist add YourJavaName
whitelist on
whitelist add FriendJavaName
whitelist listRemplacez les exemples par le pseudo Java Edition de chaque joueur. Les commandes saisies dans la console ne prennent pas de barre oblique au début. Pour les saisir en jeu, il faut être opérateur et ajouter une barre oblique au début.
2. Vérifier l'authentification des joueurs
Un serveur Java normal doit avoir online-mode=true dans server.properties. Ce réglage vérifie que les joueurs possèdent bien les pseudos qu'ils utilisent. Sans lui, quelqu'un peut se faire passer pour un joueur de votre whitelist.
Si le réglage vaut déjà true, ne le changez pas. S'il vaut false, sauvegardez tout le serveur avant de le modifier. Changer de mode d'authentification change les données d'identité des joueurs : inventaires, entrées de la whitelist, statut d'opérateur et permissions des plugins devront peut-être être migrés ou ajoutés de nouveau.
Ne changez pas ce réglage sur un serveur backend derrière Velocity ou BungeeCord. Suivez plutôt le guide proxy de votre hébergeur. Le proxy doit authentifier les joueurs, et un pare-feu doit empêcher les joueurs de se connecter directement au backend. Le modern forwarding ne remplace pas ce pare-feu. Le guide de sécurité Velocity de Paper explique comment empêcher l'accès direct à un backend.
Si vous acceptez volontairement des joueurs sans compte Minecraft vérifié, utilisez un plugin d'authentification maintenu, gardez la whitelist activée et suivez les instructions de votre plateforme pour restreindre l'accès réseau direct.
La console doit maintenant indiquer que la whitelist est activée et afficher les pseudos ajoutés. Si vous avez un autre compte Java, vous pouvez aussi vérifier qu'un compte absent de la liste est refusé.
Vérifier ce qui s'est passé
Gardez la whitelist activée pendant la vérification. S'il manque des blocs ou des objets, arrêtez le serveur avant de réparer quoi que ce soit et faites une copie de tout son dossier, y compris le monde, la configuration et les logs. Si votre hébergeur propose un outil de snapshot, vous pouvez l'utiliser à la place. Les logs peuvent montrer quand un joueur s'est connecté et sous quel pseudo, et peuvent enregistrer des commandes ou l'activité des plugins. En mode hors ligne, ce pseudo n'identifie pas la personne qui l'a utilisé.
Si vous avez une sauvegarde saine, restaurez-en une datant d'avant les dégâts. Vérifiez aussi ops.json pour repérer des opérateurs inconnus, et utilisez deop PlayerName pour en retirer un. Les serveurs avec un plugin de permissions peuvent stocker les accès du staff ailleurs : vérifiez aussi les utilisateurs et groupes de ce plugin.
Comment le serveur a été trouvé
Votre serveur n'a pas besoin d'être annoncé pour être trouvé. N'importe qui peut scanner les adresses publiques d'internet à la recherche des ports utilisés par Minecraft. À quoi ressemble un scan Lucky décrit le trafic de statut, d'où il vient et comment l'identifier.
Notre bot se connecte en tant que LuckySystems, publie l'avertissement et se déconnecte. Il ne casse ni ne pose de blocs, ne prend pas d'objets et n'exécute aucune commande.
Vous n'avez pas à nous payer, à partager un mot de passe, à accorder les droits d'opérateur, à nous donner accès à un compte ni à installer quoi que ce soit.
Quiconque vous demande ces choses ne fait pas partie de Lucky. En cas de doute sur l'origine d'un message, écrivez à contact@lucky.systems.