# Sécurité d'un serveur Minecraft : la checklist 2026 La plupart des intrusions sur les serveurs Minecraft partent de quelque chose de simple : un port backend ouvert, un plugin obsolète ou un admin qui a réutilisé un mot de passe. Cette checklist passe en revue les points faibles habituels, dans l'ordre où nous les vérifierions. Mis à jour: 2026-11-06 ## En bref - Rendez les serveurs backend inaccessibles à tous sauf au proxy et configurez le transfert des IP. - Gardez Paper, Velocity et les plugins à jour, et ne téléchargez les plugins que depuis leurs vraies pages. - Ne donnez au staff que les permissions nécessaires et protégez les comptes du staff. - Désactivez RCON et query si vous ne les utilisez pas, et gardez les sauvegardes hors du serveur. - Le DDoS est arrêté par votre hébergeur ; les bots, les VPN et le contournement de bannissement, par une protection sur le proxy. ## Verrouiller le proxy et les backends Sur un réseau, chaque joueur doit passer par le proxy. Si le port d'un serveur backend est ouvert sur Internet, n'importe qui peut s'y connecter directement, contourner toutes les vérifications du proxy et, si le backend utilise le forwarding BungeeCord classique sans BungeeGuard, se connecter sous n'importe quel nom, y compris celui d'un admin. - Faites écouter les serveurs backend sur 127.0.0.1 ou à un réseau privé, ou fermez leurs ports dans le pare-feu pour que seul le proxy puisse les joindre. - Sur Velocity avec des backends 1.13+, utilisez le modern player info forwarding et indiquez le même forwarding secret dans la configuration de chaque backend Paper. Pour des backends 1.8 à 1.12, utilisez le mode de forwarding bungeeguard avec le plugin BungeeGuard. - Sur BungeeCord, activez `ip_forward` et ajoutez BungeeGuard, pour qu'un backend n'accepte que les connexions qui présentent votre jeton. - Laissez l'online mode activé sur le proxy, sauf si vous gérez un serveur crack avec un plugin d'authentification. ## Garder le serveur et les plugins à jour Les nouveaux builds de Paper et de Velocity corrigent régulièrement des exploits, y compris certains qui font planter le serveur avec un seul paquet. Mettez à jour le logiciel du serveur et le proxy, et supprimez les plugins que vous n'utilisez plus : chaque plugin est du code qui tourne avec un accès complet. Ne téléchargez les plugins que depuis leurs propres pages : Hangar, Modrinth, SpigotMC ou le GitHub de l'auteur. Les copies piratées de plugins payants font partie des moyens les plus courants par lesquels une porte dérobée arrive sur un serveur. ## Permissions et op Ne donnez l'op à personne sur un serveur public. Utilisez un plugin de permissions comme LuckPerms et donnez à chaque rôle uniquement ce dont il a besoin. Méfiez-vous des permissions génériques comme `*` ou `essentials.*`. Elles incluent souvent des commandes qui exécutent des commandes console, donnent des objets ou modifient les permissions : quiconque prend le contrôle d'un compte de modérateur obtient alors presque les mêmes pouvoirs que la console. Retirez les permissions d'un membre le jour où il quitte l'équipe. ## Protéger les comptes du staff Sur un serveur en online mode, un compte du staff est un compte Microsoft : assurez-vous que votre staff y utilise un mot de passe solide et la vérification en deux étapes. Sur un serveur crack, le compte n'est protégé que par le mot de passe du plugin d'authentification. Les mots de passe du staff doivent être longs et n'être utilisés nulle part ailleurs, et la connexion à deux facteurs doit être activée si votre plugin d'authentification la prend en charge. Plus de détails dans [les attaques par force brute sur les mots de passe](https://kordonlabs.com/fr/guides/minecraft-password-brute-force). Regardez de temps en temps d'où se connectent les comptes du staff. Une connexion depuis un nouveau pays ou un nouveau fournisseur d'accès mérite qu'on se renseigne. ## Fermer ce que vous n'utilisez pas - RCON donne un accès complet à la console par le réseau. Laissez `enable-rcon=false` si vous n'en avez pas besoin ; sinon, utilisez un long mot de passe et n'autorisez que votre propre adresse dans le pare-feu. - Désactivez `enable-query` si vous n'en avez pas besoin. - Les ports du panneau, de la base de données et de SSH ne doivent être ouverts qu'aux adresses qui en ont besoin. ## Sauvegardes Gardez les sauvegardes des mondes et des données des plugins en dehors de la machine du serveur, et vérifiez de temps en temps que vous pouvez les restaurer. Une sauvegarde sur le même disque ne sert à rien quand la machine tombe en panne ou que quelqu'un prend le contrôle du compte d'hébergement. ## DDoS, bots et VPN Une attaque DDoS sature le réseau avant que quoi que ce soit n'atteigne Minecraft, donc aucun plugin ne peut l'arrêter ; c'est le rôle de votre hébergeur ou d'un service de protection réseau. Voir [ce qu'un plugin peut et ne peut pas faire contre un DDoS](https://kordonlabs.com/fr/guides/minecraft-ddos-protection). Les attaques de bots, les utilisateurs de VPN et le contournement de bannissement arrivent sous forme de vraies connexions, et c'est sur le proxy qu'on les arrête : par des vérifications d'adresse comme Kordon et, pour les bots venant d'adresses propres, par un plugin de vérification comme Sonar. Voir [comment bloquer les VPN](https://kordonlabs.com/fr/guides/block-vpn-minecraft-server) et la [comparaison des plugins anti-bot](https://kordonlabs.com/fr/guides/best-minecraft-antibot-plugins). ## Checklist 1. Backends joignables uniquement depuis le proxy, transfert des IP avec un secret ou BungeeGuard. 2. Serveur, proxy et plugins à jour, plugins inutilisés supprimés, aucune copie piratée. 3. Pas d'op sur un serveur public, rôles limités aux permissions nécessaires. 4. Comptes du staff avec des mots de passe solides et uniques, vérification en deux étapes activée. 5. RCON et query désactivés ou limités à votre adresse. 6. Sauvegardes hors de la machine, restauration testée. 7. Protection DDoS chez l'hébergeur, protection contre les bots et les VPN sur le proxy. ## Essayez Kordon sur votre serveur Commencez en mode Surveillance : Kordon montre qui il bloquerait, et vous activez la protection quand vous êtes prêt. [Créer un compte](https://panel.kordonlabs.com/register) ## Autres guides - [Protection DDoS pour Minecraft : ce qu'un plugin peut faire ou non](https://kordonlabs.com/fr/guides/minecraft-ddos-protection): Ce qu'est une attaque DDoS contre un serveur Minecraft, pourquoi aucun plugin n'arrête un flood réseau, d'où vient la vraie protection DDoS et en quoi les attaques de bots diffèrent. - [Comment bloquer les VPN et les proxys sur un serveur Minecraft](https://kordonlabs.com/fr/guides/block-vpn-minecraft-server): Pourquoi des joueurs se connectent via un VPN ou un proxy, quels moyens existent pour les bloquer et comment installer pas à pas le plugin Kordon AntiVPN sur BungeeCord ou Velocity. - [Brute force des mots de passe sur un serveur Minecraft crack : comment protéger les comptes](https://kordonlabs.com/fr/guides/minecraft-password-brute-force): Comment les attaquants devinent les mots de passe des joueurs sur les serveurs avec AuthMe ou nLogin, quels réglages du plugin d'authentification les arrêtent et en quoi bloquer les VPN et les proxys aide.