Protéger son serveur Discord contre les raids

Avant Pendant Après Avec Vigie

Les trois formes de raid

• La vague de comptes : des dizaines de comptes, souvent créés le jour même, rejoignent par ton lien d’invitation et écrivent tous en même temps.
• Le webhook volé : quelqu’un récupère l’adresse d’un webhook (une intégration qui poste dans un salon) et s’en sert pour envoyer des centaines de messages, sans même être sur le serveur.
• Le compte de staff piraté : un modérateur se fait voler son compte, et l’attaquant utilise ses permissions pour supprimer des salons ou bannir tout le monde. C’est le plus grave, et le plus simple à éviter.

Avant : les réglages qui évitent la plupart des problèmes

1. Monte le niveau de vérification

Dans les paramètres du serveur, partie sécurité, Discord propose plusieurs niveaux : e-mail vérifié, compte inscrit depuis plus de 5 minutes, membre du serveur depuis plus de 10 minutes, téléphone vérifié. Le niveau « membre depuis 10 minutes » arrête la plupart des raids sans gêner les vrais membres, qui attendent simplement un peu avant d’écrire.

2. Exige la double authentification pour la modération

Discord peut exiger que toute personne qui a des permissions de modération ait activé la double authentification (A2F). Un mot de passe volé ne suffit alors plus pour bannir ou supprimer. Active-la aussi sur ton propre compte : c’est obligatoire pour l’imposer aux autres.

3. Garde les permissions dangereuses pour très peu de monde

• Administrateur : seulement toi, et un ou deux proches de confiance. Un bot n’en a presque jamais besoin.
• Mentionner @everyone : retire-la au rôle @everyone.
• Gérer les webhooks : réserve-la aux administrateurs. Ne colle jamais l’adresse d’un webhook dans un salon.

4. Pose les filtres AutoMod

L’AutoMod de Discord bloque un message avant qu’il soit posté : spam de mentions, spam, liens d’invitation, mots interdits. C’est gratuit et ça tourne même si tous les bots sont en panne.

5. Soigne tes invitations

Un lien permanent partagé partout finit toujours dans une liste de serveurs à raider. Préfère des invitations qui expirent, ou une invitation qui contrôle le compte avant de le laisser entrer.

Pendant : arrêter l’attaque

1. Ferme la porte : mets les invitations en pause (Discord le propose dans les actions de sécurité du serveur) et monte le niveau de vérification.
2. Calme les salons : mode lent, ou verrouillage des salons ouverts à tous.
3. Sors les comptes du raid : ils sont arrivés dans les mêmes minutes, souvent avec des comptes neufs. Bannis-les plutôt que de les expulser, sinon ils reviennent.
4. Webhook qui spamme ? Supprime-le dans les paramètres du salon, partie Intégrations, puis Webhooks.

Après : nettoyer et comprendre

• Efface les messages du raid (un bot de modération le fait par membre ou par salon).
• Ouvre le journal d’audit du serveur : qui a créé ce webhook, qui a changé ces permissions ?
• Révoque les anciennes invitations et crée-en une nouvelle.
• Si un compte du staff a servi au raid : retire-lui ses rôles le temps qu’il change son mot de passe et active l’A2F.

Avec Vigie

• /raid on : invitations et MP en pause, vérification élevée, et tout revient comme avant à la fin.
• Alerte d’afflux : Vigie prévient le staff quand les arrivées montent à 5 fois la normale, avec un bouton pour lancer le mode raid.
• Anti-webhook : un webhook qui envoie 15 messages en 10 secondes ou 3 @everyone en une minute est supprimé, ses messages effacés, et Vigie dit qui l’avait créé.
• Anti-flood et mode lent automatique, filtres AutoMod posés en un clic.
• Invitation protégée : les contrôles se font avant d’entrer, puis une invitation à usage unique.
• /clear et le verrouillage du serveur, remis exactement comme avant ensuite.