Protéger un serveur Discord contre les raids : 7 réglages qui aident vraiment

Un raid se déroule presque toujours de la même façon. Entre deux et cinq heures du matin, cinquante à trois cents comptes fraîchement créés arrivent, postent le même message dans chaque salon, mentionnent @everyone et disparaissent. Quand tu te réveilles, ton serveur est rempli de publicités pour un site crypto et la moitié de tes membres ont coupé les notifications.

Le plus agaçant : la plupart de ces attaques sont automatisées à bas prix et échouent face à des obstacles très simples. Si tu gères un serveur visible publiquement, passe en revue les sept points suivants. Les quatre premiers sont intégrés à Discord et ne coûtent rien d'autre que quelques minutes.

1. Relever le niveau de vérification

C'est le réglage le plus efficace de tous, et il est constamment oublié.

Sous Paramètres du serveur, Modération, Niveau de vérification, tu décides ce qu'un compte doit remplir avant de pouvoir écrire sur ton serveur. Les niveaux signifient :

Niveau	Exigence
Faible	Adresse e-mail vérifiée
Moyen	Compte inscrit sur Discord depuis au moins 5 minutes
Élevé	Membre de ton serveur depuis au moins 10 minutes
Le plus élevé	Numéro de téléphone vérifié

Moyen est le minimum pour tout serveur public. Élevé est le point où la plupart des raids automatisés cessent de fonctionner, parce que l'attaquant devrait garer ses comptes pendant dix minutes avant de pouvoir faire quoi que ce soit. Cela n'en vaut pas la peine pour lui.

Le plus élevé est tentant, mais bloque aussi beaucoup de vrais utilisateurs qui ne veulent pas confier leur numéro de téléphone à une application de discussion. Ne l'utilise que pendant que tu es activement attaqué.

2. Activer l'AutoMod de Discord

Discord a depuis un moment une modération intégrée que beaucoup de propriétaires de serveurs n'ont jamais ouverte. Sous Paramètres du serveur, AutoMod, tu peux activer en deux clics des filtres contre les liens de spam, les mentions de masse et les mots fréquemment abusés.

Cela ne remplace pas un vrai filtre, mais c'est gratuit et disponible immédiatement.

3. Faire le ménage dans qui a vraiment des permissions

Le cas le plus désagréable n'est pas un raid venu de l'extérieur, mais un compte de l'intérieur qui a été piraté. Quelqu'un de ton équipe tombe dans un lien de phishing, l'attaquant détient soudain les permissions d'administrateur, et quatre minutes plus tard tous les salons ont disparu.

Parcours une fois ta liste de rôles et demande-toi, pour chaque rôle avec Administrateur, si cette personne en a vraiment besoin. Dans la grande majorité des cas, les permissions spécifiques suffisent :

• Un supporter a besoin de Gérer les messages et Exclure temporairement des membres, pas d'Administrateur.
• Un responsable des événements a besoin de Gérer les salons dans une catégorie, pas sur tout le serveur.
• Un bot a rarement besoin de tout, même si son invitation propose tout.

Tu devrais aussi exiger l'authentification à deux facteurs pour chaque membre de l'équipe. Sous Paramètres du serveur, Configuration de la sécurité, il y a un interrupteur qui bloque les actions de modération sans 2FA.

4. Limiter les invitations

Un raid a besoin d'un lien d'invitation. Si ton lien est resté inchangé dans une liste de serveurs pendant deux ans, il a fini dans une collection qu'on passe en revue à tour de rôle.

Pour les annonces publiques, crée des invitations avec une date d'expiration et une limite d'utilisations au lieu de diffuser un lien illimité. Sous Paramètres du serveur, Invitations, tu vois tous les liens actifs et peux révoquer les anciens.

5. Imposer un âge de compte

C'est ici que s'arrêtent les outils intégrés de Discord. Le niveau de vérification Moyen exige cinq minutes d'ancienneté, ce qui n'est pas un obstacle pour un attaquant sérieux. Quiconque crée ses comptes une semaine à l'avance passe quand même.

Un bot peut vérifier la date de création du compte Discord et retirer automatiquement les comptes sous un seuil. Sept jours est une bonne valeur par défaut : cela attrape presque tous les comptes jetables mais n'arrête quasiment pas les vrais nouveaux venus.

Une chose compte ici : utilise l'expulsion, pas le bannissement. Un compte expulsé peut revenir une fois assez ancien. Un bannissement finit par toucher quelqu'un qui vient tout juste de s'inscrire sur Discord parce qu'un ami l'a invité.

Dans AlphaCloud, c'est le module Âge du compte, que tu configures dans le panel web avec deux champs.

6. Mettre une vérification devant le serveur

Le principe : les nouveaux membres voient exactement un salon. Ce n'est que lorsqu'ils y font quelque chose qu'ils reçoivent un rôle qui ouvre le reste.

L'effort pour toi est ponctuel :

1. Retire à @everyone la visibilité de tous les salons sauf le salon de vérification.
2. Crée un rôle qui peut voir tout le reste.
3. Fais attribuer ce rôle par un bot lors d'un clic sur un bouton.

Un simple bouton arrête déjà les bots qui ne font qu'envoyer des messages. Si ton serveur est délibérément ciblé, un petit calcul est le meilleur choix, parce qu'on ne peut pas le passer en cliquant à l'aveugle.

L'effet secondaire est agréable : la liste des membres te montre immédiatement qui est passé par la vérification et qui ne l'a pas fait.

7. Un frein d'urgence automatique

Les six premiers points empêchent l'essentiel. Pour le reste, il te faut quelque chose qui réagit plus vite que toi.

L'idée derrière est simple : une action isolée n'est pas suspecte, sa vitesse l'est. Un salon supprimé, c'est la routine. Dix salons supprimés en vingt secondes, par un compte devenu administrateur hier, c'est une attaque.

Un système anti nuke compte ce genre d'actions, les pondère et intervient quand un seuil est dépassé. Ce qui est sensé :

• La quarantaine plutôt que le bannissement pour les humains. L'attaque s'arrête immédiatement, mais tu peux rendre les rôles si c'était une fausse alerte.
• Un salon de logs, pour voir le matin ce qui s'est passé.
• Une liste blanche pour ta direction et pour les bots qui font légitimement beaucoup de choses.

AlphaCloud appelle ce module Anti Nuke. Il peut aussi restaurer les salons et rôles supprimés, avec toutefois une limite importante que tout système honnête devrait te dire : l'historique des messages ne revient pas. Les salons restaurés sont vides. C'est de la limitation des dégâts, pas une sauvegarde.

Que faire, dans l'ordre

Si tu n'as que vingt minutes aujourd'hui :

1. Niveau de vérification sur Élevé (2 minutes)
2. Passer en revue les rôles avec Administrateur (10 minutes)
3. Révoquer les anciens liens d'invitation (3 minutes)
4. Activer l'AutoMod de Discord (5 minutes)

Cela règle l'essentiel. Les points 5 à 7 deviennent utiles dès que ton serveur dépasse quelques centaines de membres, ou si tu as déjà été touché.

Et un dernier conseil qui n'a rien à voir avec les réglages : sauvegarde la structure de ton serveur. Rôles, catégories, salons. Si ça arrive quand même, ce seul fichier fait la différence entre une demi-heure et un week-end entier.