Sécuriser son serveur Discord : la checklist complète

Le propriétaire du serveur est le seul compte qu'aucun bot, aucune protection et aucun modérateur ne peut sanctionner. S'il est volé, l'attaquant a les pleins pouvoirs. C'est donc le premier compte à protéger.

• Activez l'authentification à deux facteurs (A2F) avec une application dédiée plutôt que par SMS.
• Conservez les codes de secours hors de votre ordinateur (sur papier, ou dans un gestionnaire de mots de passe).
• Utilisez un mot de passe unique, jamais réutilisé sur un autre site.
• Ne scannez jamais un QR code « de connexion » envoyé par quelqu'un : c'est la technique de vol de compte la plus répandue sur Discord.

Dans Paramètres du serveur → Sécurité (ou Modération selon la version), Discord propose d'exiger l'authentification à deux facteurs pour toutes les actions de modération. Une fois activée, un compte de modérateur sans A2F ne peut plus bannir, expulser, ni supprimer de messages ou de salons.

C'est une protection précieuse : un compte volé dont le mot de passe a fuité ne suffit plus, l'attaquant doit aussi posséder le téléphone du modérateur. Demandez à toute votre équipe d'activer l'A2F avant d'activer l'option, sinon ils perdront leurs droits du jour au lendemain.

Discord propose plusieurs niveaux de vérification qui s'appliquent à tous les nouveaux membres avant qu'ils puissent écrire : adresse e-mail vérifiée, compte inscrit depuis plus de 5 minutes, membre du serveur depuis plus de 10 minutes, et enfin numéro de téléphone vérifié.

Pour un serveur public, le niveau « membre depuis plus de 10 minutes » est un bon compromis : il casse les bots qui postent dès leur arrivée, sans gêner beaucoup les vrais membres. Le niveau téléphone est très efficace contre les comptes jetables, mais il fait fuir une partie des vrais utilisateurs ; réservez-le aux périodes d'attaque.

Un bot de vérification comme le module Vérification de NEXA ajoute une couche supplémentaire : tant que le membre n'a pas recopié un code, il ne voit aucun salon.

La permission Administrateur contourne toutes les autres. Chaque rôle qui la possède est une clé maîtresse du serveur. Ouvrez la liste de vos rôles et posez-vous la question pour chacun : a-t-il vraiment besoin de tout ?

• Réservez Administrateur au propriétaire et, à la rigueur, à un co-fondateur de confiance absolue.
• Donnez aux modérateurs uniquement les permissions de modération : expulser, bannir, exclure temporairement, gérer les messages.
• Retirez « Mentionner @everyone » à tous les rôles qui n'en ont pas un usage régulier.
• Retirez « Gérer les webhooks » partout où ce n'est pas indispensable : un webhook permet de poster sous n'importe quel nom et avatar.

Chaque bot que vous ajoutez reçoit les permissions qu'il demande, et un bot abandonné par son développeur ou dont le token a fuité devient une porte d'entrée. Retirez les bots que vous n'utilisez plus, et méfiez-vous des bots qui exigent Administrateur sans raison claire.

Activez la liste des bots de confiance dans l'anti-nuke : tout bot qui n'y figure pas est expulsé dès son ajout, même s'il a été invité par un modérateur dont le compte a été volé.

Aucune équipe de modération n'est connectée 24 h sur 24. Les protections automatiques couvrent les heures où personne ne surveille :

• Anti-raid : âge minimum de compte (24 à 72 h) et détection des arrivées en rafale.
• Anti-nuke : seuils bas sur les bannissements et suppressions en masse, retrait instantané de la permission Administrateur accordée par surprise.
• Auto-modération : anti-spam, liens non autorisés, mentions de masse.
• Honeypot : un salon piège qui attrape les bots de spam au premier message.
• Logs : pour comprendre après coup ce qui s'est passé et qui a fait quoi.

Le jour où un incident arrive, vous n'aurez pas le temps de réfléchir. Notez dès aujourd'hui, dans un salon réservé au staff, qui contacter, comment couper les invitations (Paramètres du serveur → Invitations → mettre en pause), et comment activer le niveau de vérification maximal. Faites une copie de la liste de vos rôles et salons principaux.

Revoyez cette checklist tous les six mois, et à chaque changement important dans votre équipe.