# Brute force des mots de passe sur un serveur Minecraft crack : comment protéger les comptes Sur un serveur avec un plugin d'authentification, un compte n'est protégé que par son mot de passe. Les pseudos se trouvent facilement, et si les tentatives de connexion sont illimitées, un mot de passe finit par être deviné, surtout s'il est court ou courant. Mis à jour: 2026-10-27 ## En bref - Les attaquants visent surtout les mots de passe du staff et des joueurs riches : leurs pseudos sont visibles dans la liste des joueurs (Tab) et dans les classements. - La protection principale se trouve du côté du plugin d'authentification : une limite de tentatives, une expulsion après un mauvais mot de passe et un bannissement temporaire de l'adresse. - Les limites par adresse se contournent avec des proxys : bloquer les proxys ralentit donc beaucoup les tentatives. - Kordon ne vérifie pas les mots de passe. Il ferme les adresses qui facilitent le brute force : VPN, proxys et réseaux d'hébergeurs. - Le staff a besoin de mots de passe longs et uniques et, si le plugin le permet, d'une connexion à deux facteurs. ## Comment les mots de passe sont devinés Un bot se connecte sous le pseudo de quelqu'un d'autre et tape `/login` avec les mots de passe d'une liste : les plus courants, des variantes du pseudo, des mots de passe issus de bases d'autres serveurs qui ont fuité. Beaucoup de joueurs utilisent le même mot de passe partout, si bien qu'un mot de passe qui a fuité d'un serveur fonctionne souvent sur un autre. Le plugin d'authentification bannit une adresse après quelques échecs. Pour contourner ce bannissement, l'attaquant envoie chaque tentative depuis une nouvelle adresse tirée d'une liste de proxys. ## Configurez votre plugin d'authentification C'est le plugin d'authentification qui fait l'essentiel du travail. Dans AuthMe, nLogin et les plugins du même genre, cherchez ces réglages : - une limite de tentatives échouées et une expulsion après un mauvais mot de passe ; - un bannissement temporaire de l'adresse après plusieurs échecs d'affilée ; - un délai de connexion : qui n'a pas tapé son mot de passe en une minute est expulsé ; - une longueur minimale de mot de passe et l'interdiction des mots de passe les plus simples ; - la connexion automatique pour les détenteurs d'un compte premium, qui n'ont alors besoin d'aucun mot de passe ; - une connexion à deux facteurs via une application d'authentification, si le plugin le permet. ## Protégez votre staff Le compte d'un administrateur est le plus précieux, c'est donc la première cible. Les mots de passe du staff doivent être longs et n'être utilisés nulle part ailleurs. Si le plugin gère la connexion à deux facteurs, activez-la au moins pour le staff. De temps en temps, vérifiez d'où se connectent les comptes du staff. Une connexion depuis un nouveau pays ou un FAI inconnu mérite qu'on s'y attarde. ## Fermez les proxys Une limite de tentatives par adresse ne fonctionne que tant que l'attaquant a peu d'adresses. Kordon vérifie la connexion sur le proxy, avant le plugin d'authentification. Les VPN, les proxys ouverts et les réseaux d'hébergeurs ne passent pas, et avec la protection « Strict » (à partir de l'offre Premium), les proxys résidentiels non plus. Il reste moins d'adresses à l'attaquant, et les tentatives deviennent beaucoup plus lentes. > Kordon ne voit pas le mot de passe que tape un joueur et ne compte pas les connexions échouées. C'est le rôle du plugin d'authentification ; Kordon se contente de laisser moins d'adresses à l'attaquant. ## Les signes d'un brute force Les journaux du plugin d'authentification montrent de nombreux mauvais mots de passe pour un même pseudo. Le journal des connexions de Kordon (à partir de l'offre Basic) montre de nombreuses connexions brèves sous ce pseudo, depuis des adresses et des pays différents. ## Si un compte a déjà été piraté 1. Changez le mot de passe du compte avec la commande d'administration du plugin d'authentification et expulsez le compte du serveur. 2. Consultez les journaux d'actions (CoreProtect, par exemple) pour voir ce qui a été fait au nom du joueur. 3. Mettez dans la liste noire les adresses depuis lesquelles l'intrus s'est connecté, avec une durée (à partir de l'offre Pro). 4. Demandez au joueur de changer ce mot de passe partout où il l'a utilisé. ## Essayez Kordon sur votre serveur Commencez en mode Surveillance : Kordon montre qui il bloquerait, et vous activez la protection quand vous êtes prêt. [Créer un compte](https://panel.kordonlabs.com/register) ## Autres guides - [Protéger un serveur Minecraft crack : bots, faux pseudos et contournement de bannissement](https://kordonlabs.com/fr/guides/cracked-minecraft-server-protection): Les risques d'un serveur en mode offline, pourquoi n'importe qui peut entrer en tant qu'admin sans plugin d'authentification, et comment Kordon aide contre les bots, les VPN et le contournement de bannissement. - [Comment protéger un serveur Minecraft des attaques de bots](https://kordonlabs.com/fr/guides/minecraft-bot-attack-protection): À quoi ressemble une attaque de bots sur un serveur Minecraft, pourquoi elle passe par des proxys et comment le mode attaque de Kordon ferme les réseaux des bots pendant que les vrais joueurs continuent d'entrer. - [Filtre de pseudos sur un serveur Minecraft : règles et expressions régulières](https://kordonlabs.com/fr/guides/minecraft-nickname-filter): Comment restreindre les pseudos des joueurs sur un serveur Minecraft avec des regex : la règle Paper par défaut, bloquer les pseudos de bots, modèles prêts à l'emploi et erreurs courantes.