Protéger un serveur Discord des raids et des faux comptes
Un raid consiste à faire rejoindre un serveur par un grand nombre de comptes en peu de temps, pour inonder les salons ou mentionner massivement les membres.
La bonne défense n'est pas de détecter le raid quand il commence, mais de faire en sorte qu'un compte fraîchement arrivé ne puisse rien écrire tant qu'un humain ne l'a pas laissé entrer.
La couche que Discord fournit
Dans les paramètres du serveur, le niveau de vérification impose des conditions à l'écriture : adresse e-mail vérifiée, ancienneté du compte de plus de cinq minutes, ou appartenance au serveur depuis plus de dix minutes. Le niveau le plus élevé exige un numéro de téléphone vérifié.
Cette couche est gratuite, immédiate, et arrête les vagues les moins sophistiquées. Elle ne suffit pas seule : des comptes anciens et vérifiés se revendent, et un raid préparé les utilise.
Fermer le serveur par défaut
C'est la mesure la plus efficace, et la plus souvent négligée. Retirez au rôle @everyone la permission de voir les salons, à l'exception d'un unique salon d'accueil. Un compte qui rejoint le serveur n'a alors rien à inonder.
L'accès réel passe par un rôle distinct, attribué seulement après une vérification. Tant que ce rôle n'est pas donné, l'arrivant ne voit qu'une porte fermée — quel que soit le nombre de comptes arrivés en même temps.
Exiger une action de l'arrivant
Avec le module de vérification d'Eric, chaque arrivée publie dans le salon de vérification une demande adressée au nouveau membre : réagir avec un emoji précis pour obtenir le rôle d'accès. Le bot ajoute cet emoji ainsi qu'un emoji de refus, et n'accepte la réaction que si elle vient de la personne visée.
L'emoji d'acceptation est tiré au hasard à chaque arrivée. C'est ce qui fait le filtre : un script qui réagit à tout, ou qui a appris un emoji fixe, tombe sur celui de refus et se fait expulser. Un compte préparé à l'avance ne contourne rien, puisqu'il n'y a rien à préparer — il faut lire le message au moment où il arrive.
Cette approche a un coût qu'il faut connaître : l'expulsion est immédiate et automatique. Un membre légitime qui clique sur la mauvaise réaction se retrouve dehors, et devra être réinvité.
Ce qu'il faut préparer avant l'incident
- Un rôle d'accès distinct de @everyone, et des permissions de salon qui en dépendent réellement.
- Le rôle du bot placé au-dessus du rôle d'accès dans la hiérarchie.
- Un salon de vérification visible de tous, arrivants compris : c'est là qu'ils doivent réagir.
- Le niveau de vérification de Discord réglé au moins sur « moyen ».
- Une consigne écrite pour l'équipe : qui monte le niveau de vérification et à quel moment.
Pendant un raid
- Monter immédiatement le niveau de vérification du serveur au maximum : cela bloque l'écriture des comptes sans téléphone vérifié.
- Suspendre les invitations en cours si le raid passe par un lien diffusé publiquement.
- Bannir plutôt qu'expulser : une expulsion laisse revenir avec la même invitation.
- Ne pas supprimer les messages avant d'avoir relevé les identifiants des comptes, utiles pour un signalement à Discord.
- Rétablir les réglages une fois la vague passée, sinon les vrais nouveaux membres restent bloqués.