Sécurité et DDoSOn envoie des choses aux propriétaires de serveur : un schematic, une extension « corrigée », une capture d'erreur, un pack venu d'un joueur. La plupart sont exactement ce qu'ils annoncent. La catégorie d'attaque qui vous vise fonctionne parce que le fichier est réellement ce que vous aviez demandé, plus autre chose.
Ce qu'on envoie, et ce qu'il faut surveiller
| Envoyé | Raisonnable ? | Surveiller |
|---|---|---|
| Une capture d'erreur | Oui | Rien. Les images vont très bien. |
| Un fichier de journal | Oui | Rien, mais lisez-le avant de le coller en public. |
| Un schematic | Oui | Collez-le d'abord sur un monde de test : les gros peuvent bloquer un serveur. |
| Un jar d'extension | Parfois | Récupérez-le plutôt sur la page du projet, toujours. |
| Une extension payante « crackée » ou « gratuite » | Non | C'est la voie d'infection la plus fréquente. |
| Un exécutable ou un installeur | Non | Rien dans l'hébergement d'un serveur Minecraft n'en exige un. |
Il n'y a pas de bac à sable. Une extension qu'on vous donne peut lire tous les fichiers que le serveur peut lire, y compris les configurations contenant vos identifiants de base, et exécuter n'importe quelle commande comme la console. « Ce n'est qu'une petite extension, regarde ce qu'elle fait » est exactement l'argument, et la description ne vous apprend rien.
Traiter un fichier que vous n'êtes pas allé chercher
- Trouvez la source d'origine
Si c'est une vraie extension, elle a une page de projet. Téléchargez-la là et ignorez la copie reçue : vous ne perdez rien et vous savez ce que vous avez.
- S'il n'y a pas de source d'origine, refusez
Une extension qui n'existe que sous forme de fichier envoyé est une extension que personne n'a examinée. Ce n'est pas une règle sur la confiance ; c'est une règle sur l'impossibilité de vérifier.
- Testez sur une copie, pas sur le serveur en production
Pour les schematics et les packs, généralement sains et parfois énormes. Une instance de test transforme un mauvais après-midi en haussement d'épaules.
- N'exécutez jamais un exécutable
Aucune partie légitime de l'hébergement d'un serveur Minecraft ne suppose d'exécuter un programme qu'on vous a envoyé.
Un lien publié dans votre Discord atteint tout le monde. Retirer de votre communauté les liens vers des sites d'extensions « gratuites » et les téléchargements inconnus protège vos joueurs, cela ne les censure pas — et cela mérite d'être dit une fois à voix haute pour que la règle soit comprise plutôt que subie.