Sécurité et DDoSIl n'y a pas de bac à sable. Une extension peut lire tous les fichiers que lit votre serveur, ouvrir des connexions réseau et exécuter n'importe quelle commande comme la console. C'est ce qui fait leur puissance, et c'est pourquoi d'où vous l'avez tirée compte autant que ce qu'elle fait.
La vérification de cinq minutes
- Téléchargez-la depuis la page du projet lui-même
Le référencement officiel, le dépôt du développeur, ou la place de marché où il publie. Pas un ré-upload, pas une pièce jointe de forum, pas un lien collé par quelqu'un.
- Regardez la date de dernière mise à jour
Une extension abandonnée depuis deux versions de Minecraft cassera à votre prochaine montée de version, et personne ne la corrigera. C'est un coût d'entretien que vous choisissez d'assumer.
- Lisez les avis ou tickets récents, pas la description
La description est écrite par l'auteur. Le suivi des tickets est écrit par ceux à qui elle a cassé quelque chose. Quinze tickets ouverts sur le même plantage est une information que la description ne porte pas.
- Regardez ce qu'elle déclare avoir besoin
Une extension de formatage du chat qui veut faire des requêtes web sortantes mérite une question. Toute permission inhabituelle n'est pas malveillante, mais chacune devrait avoir une explication trouvable.
- Installez-la d'abord sur une instance de test
Si l'extension est importante, faites-la tourner une journée ailleurs que sur votre monde en production. C'est à cela que servent les emplacements splitter au-delà des réseaux.
Une extension payante offerte gratuitement a été modifiée par quelqu'un, et la modification est précisément le but. Ce qu'on y ajoute est généralement une porte dérobée donnant à son auteur un accès console à tous les serveurs qui l'installent — donc à vos mondes, vos configurations, et tous les identifiants de base qui s'y trouvent. Un article distinct y est consacré, et il n'exagère pas.
Chaque extension est une chaîne d'approvisionnement à laquelle vous faites confiance : l'auteur, la sécurité de son compte, et celui à qui il vendra peut-être le projet. Six extensions, c'est six de ces chaînes. Quarante, c'est quarante, et vous ne les surveillerez pas toutes.
Si vous en soupçonnez une d'être malveillante
Arrêtez le serveur plutôt que de retirer l'extension pendant qu'il tourne. Copiez tout le serveur à titre de preuve, retirez l'extension, faites tourner tous les identifiants qu'il détenait — mots de passe de base, RCON, SFTP, votre mot de passe panel — et vérifiez votre liste d'opérateurs et le journal d'activité pour des changements que vous n'avez pas faits.