Protéger un serveur Discord d'un raid : ce qui marche vraiment

Reconnaître un raid, et ne pas le confondre avec du succès

Un serveur qui grandit reçoit des arrivées régulières, réparties dans la journée, avec des comptes d'âges variés. Un raid, c'est autre chose : une dizaine ou une centaine d'arrivées en quelques minutes, des comptes créés dans la même semaine, souvent sans photo de profil, et des messages identiques postés dans plusieurs salons à la fois.

La différence se mesure. Trois signes suffisent à trancher :

• La cadence. Plus de cinq arrivées en moins d'une minute sur un serveur qui en reçoit dix par jour, c'est anormal.
• L'âge des comptes. Un compte Discord de moins de sept jours n'est pas suspect en soi ; vingt d'un coup, si.
• La répétition. Le même message, ou le même lien, posté par des comptes différents en moins d'une minute.

Un bot de modération comme ModBot surveille ces trois signaux en continu. Ce n'est pas de la magie : c'est un compteur, un seuil, et une action.

1. La porte d'entrée : une vérification avant tout le reste

La mesure la plus efficace est aussi la plus simple : un nouvel arrivant ne voit rien tant qu'il n'a pas prouvé qu'il est humain. Concrètement, un salon de vérification, un bouton, une image à recopier, et un rôle donné au succès.

Cela arrête la quasi-totalité des raids, parce que les raids sont automatisés. Un script qui rejoint cent serveurs ne lit pas une image et ne clique pas sur un bouton. Il faudrait qu'une personne le fasse à la main, cent fois — et à ce moment-là, ce n'est plus un raid, c'est un travail.

Deux détails qui changent tout :

• Ne fais pas passer la vérification par les messages privés. Beaucoup de gens les ferment ; ils resteraient bloqués sans comprendre. Une réponse éphémère dans le serveur marche pour tout le monde.
• Donne un rôle, ne retire pas un rôle. Le rôle « @everyone » doit voir le strict minimum. C'est le rôle donné après vérification qui ouvre le serveur.

2. Le niveau de vérification de Discord

Discord propose son propre filtre, dans Paramètres du serveur → Modération. Il est gratuit, il est intégré, et beaucoup de serveurs le laissent au minimum sans savoir ce qu'il fait.

• Moyen : le compte doit être inscrit sur Discord depuis plus de cinq minutes. Cela suffit déjà à écarter les comptes créés à la volée.
• Élevé : il faut être membre du serveur depuis plus de dix minutes avant de pouvoir écrire. Excellent pendant un raid, pénible en temps normal.
• Très élevé : numéro de téléphone vérifié exigé. Radical, mais il écarte aussi de vrais membres qui ne veulent pas donner leur numéro — et c'est leur droit.

Le bon réglage au quotidien est Moyen. Le réglage Élevé se garde pour la durée d'une attaque, et se redescend après : c'est exactement ce qu'un mode « confinement » automatique fait pour toi.

3. Les permissions par défaut : là où se perdent les serveurs

La plupart des dégâts d'un raid ne viennent pas des messages, mais des permissions laissées ouvertes. Trois à vérifier tout de suite sur le rôle @everyone :

• Mentionner @everyone et @here — à couper. Un seul message peut alors notifier tout le serveur.
• Joindre des fichiers et intégrer des liens — à réserver au rôle donné après vérification. C'est par là que passent les images choquantes.
• Créer des invitations — à couper si ton serveur se rejoint par un lien public que tu contrôles. Un raid se propage par les invitations qu'il fabrique lui-même.

Une permission retirée ne casse rien : la fonction correspondante cesse simplement d'exister pour ce rôle. C'est réversible en un clic, et ça vaut mieux que de découvrir après coup qui pouvait quoi.

4. La réaction automatique : la seule qui aille assez vite

Un raid dure quatre minutes. Le temps qu'une notification arrive sur ton téléphone, que tu ouvres Discord et que tu comprennes ce qui se passe, c'est fini. La seule réponse à l'échelle est automatique.

Ce qu'une protection anti-raid doit savoir faire, dans cet ordre :

1. Détecter — compter les arrivées sur une fenêtre courte et comparer à un seuil.
2. Confiner — fermer l'écriture le temps de comprendre, plutôt que bannir à l'aveugle.
3. Prévenir — écrire aux administrateurs en message privé, avec un bouton « fausse alerte » qui annule tout.
4. Lever — rendre le serveur à son état normal une fois la vague passée, sans intervention.

Le troisième point est le plus important, et le plus souvent oublié. Une protection qui bannit sans demander finit par bannir de vrais membres — et personne ne la garde active longtemps après ça.

Après coup : ce qu'il faut regarder

Un raid laisse des traces. Trois choses à faire dans l'heure qui suit :

• Lire le journal. Qui est arrivé, qui a écrit quoi, quels salons ont été touchés. Sans journal, tu n'as que des souvenirs.
• Vérifier les invitations. Supprime celles que tu ne reconnais pas, et régénère le lien public.
• Vérifier les rôles. Un raid qui a réussi laisse parfois un compte avec un rôle qu'il n'aurait pas dû obtenir.

Et une sauvegarde des salons et des rôles, faite avant, vaut toutes les réparations faites après.

Les erreurs qui reviennent le plus souvent

• Tout activer d'un coup. Un serveur verrouillé de partout devient désagréable, l'équipe finit par tout désactiver, et il ne reste plus rien. Active la vérification et l'anti-raid d'abord ; le reste, seulement si le besoin apparaît.
• Donner « Administrateur » au bot… et à six personnes. Un nuke vient presque toujours d'un compte administrateur piraté. Moins il y en a, moins la surface est grande.
• Croire qu'un bot remplace une équipe. Un bot applique des règles ; il ne les écrit pas, et il ne parle pas aux gens. Les deux sont nécessaires.

Si tu veux voir à quoi ressemblent ces protections une fois réglées, la documentation de ModBot décrit chaque module et ce qu'il fait exactement. Le bot est gratuit sur l'essentiel : modération, anti-raid, anti-spam, captcha, tickets et sauvegardes.