Sécuriser son serveur Minecraft face aux bots inconnus

BoxToPlay-helper · Octobre 21, 2026, 4:03

Vous consultez tranquillement la console de votre serveur Minecraft sur le panel BoxToPlay ou vous jetez un œil à vos fichiers de logs, et soudain, une ligne attire votre attention : un joueur au pseudonyme inconnu, comme scanner672715, a tenté de se connecter en pleine nuit sur votre monde privé.

Un pseudo inconnu dans les logs ne prouve pas un piratage. Il peut s’agir d’un robot qui parcourt les adresses IP à la recherche de serveurs accessibles. Pour savoir s’il a pu entrer, regardez surtout si la connexion a été refusée ou acceptée.

Pour protéger un serveur privé, commencez par trois choses : activez la liste blanche, ajoutez uniquement vos amis et conservez l’authentification officielle des comptes. Si vous utilisez le mode hors ligne ou un proxy, suivez aussi les précautions correspondantes ci-dessous. Le guide couvre Java, les serveurs moddés, Bedrock et NukkitX.

1. Comprendre les logs : scan ou intrusion ?

Lorsqu’un bot de scan parcourt Internet, il teste à la chaîne des milliers d’adresses IP et de ports afin de recenser automatiquement les serveurs de jeu accessibles.

Dès qu’il détecte un serveur actif, son script envoie un paquet de connexion pour vérifier si l’entrée est libre. Voici le genre de message qui apparaît alors dans votre console ou dans votre fichier logs/latest.log :

[03:14:22 INFO]: Disconnecting com.mojang.authlib.GameProfile@... [scanner672715]: You are not white-listed on this server!

Ce que signifie ce message

Ce message indique que cette tentative de connexion a été refusée par la liste blanche.

Le joueur n’a pas rejoint le monde par cette connexion. En revanche, ce seul message ne permet pas de conclure sur les autres connexions ni sur la sécurité de l’ensemble du serveur.

Sur Java, une ligne joined the game indique qu’un joueur est effectivement entré. Si vous repérez une connexion acceptée sous un pseudo inconnu, retirez ses éventuels droits, bannissez-le et examinez les actions enregistrées avant de reprendre une partie normale.

2. Activer la Whitelist

Pour un serveur privé destiné à jouer en solo, en famille ou entre amis, la whitelist (liste blanche) est de loin la protection la plus simple, la plus efficace et la plus fiable.

La whitelist est une fonctionnalité native de Minecraft Java, notamment sur Vanilla, Paper, Purpur, Fabric, Forge et NeoForge. NukkitX propose aussi les commandes /whitelist, tandis que Bedrock officiel utilise une allowlist. Elle réserve l’accès aux joueurs autorisés, avec des exceptions possibles pour les opérateurs. Limitez donc aussi les droits /op.

Depuis le panel BoxToPlay

Rendez-vous sur votre panel BoxToPlay dans la rubrique Configuration.
Sur Java, activez Liste blanche (white-list=true). Si votre version propose enforce-whitelist=true, activez-le pour expulser les joueurs non autorisés lors du rechargement de la liste. Après un retrait, utilisez /whitelist reload et vérifiez les joueurs encore connectés.
Enregistrez les modifications et redémarrez votre serveur (ou gérez directement vos invités depuis l’onglet Joueurs → Whitelist et Saisie manuelle).

Commandes Whitelist (Java et NukkitX)

Vous pouvez également utiliser la console de votre panel ou les commandes en jeu avec les permissions nécessaires :

Activer la whitelist : /whitelist on
Ajouter un ami de confiance : /whitelist add PseudoDuJoueur
Retirer un joueur de la liste : /whitelist remove PseudoDuJoueur
Consulter la liste des joueurs autorisés : /whitelist list
Recharger la liste après une modification : /whitelist reload

Commandes Allowlist (Bedrock officiel)

Sur le serveur officiel Minecraft Bedrock (BDS), la liste blanche s’appelle l’Allowlist (allow-list=true), tandis que les serveurs NukkitX conservent la commande /whitelist classique. Sur votre panel Bedrock, passez simplement Liste blanche sur Oui dans la page Configuration, tout en gardant Compte Microsoft obligatoire (online-mode=true) activé.

Pour gérer vos joueurs sur Bedrock officiel, utilisez de préférence la console du panel. En jeu, ces commandes nécessitent les permissions adaptées :

Activer la liste : /allowlist on
Ajouter un joueur : /allowlist add "Gamertag Du Joueur"
Retirer un joueur : /allowlist remove "Gamertag Du Joueur"
Afficher les joueurs autorisés : /allowlist list
Recharger le fichier : /allowlist reload

Astuce essentielle pour Bedrock :
Les pseudonymes Xbox (Gamertags) contiennent souvent des espaces (par exemple Alex Le Mineur). Pour ajouter un tel joueur sans provoquer d’erreur de syntaxe dans la console, entourez toujours son pseudo de guillemets : /allowlist add "Alex Le Mineur".

La liste blanche contrôle qui peut entrer, pas qui peut découvrir l’adresse du serveur. En mode hors ligne, elle ne suffit pas à empêcher quelqu’un de reprendre un pseudo autorisé.

3. Sécuriser un serveur en mode hors-ligne (crack)

Avec online-mode=true, le serveur vérifie les comptes officiels avant d’autoriser la connexion. Un inconnu ne peut pas prendre votre identité en saisissant simplement votre pseudo. Cela ne protège toutefois pas un compte dont les identifiants ont été volés.

En revanche, si vous avez activé l’option Serveur cracké (online-mode=false) dans Configuration pour accepter des joueurs sans compte officiel, n’importe quel bot ou intrus peut tenter de se connecter en prenant le pseudonyme du propriétaire ou d’un administrateur /op.

Le choix le plus simple reste de conserver online-mode=true. Si vous avez besoin du mode hors ligne, installez un système d’authentification compatible depuis le catalogue du panel, puis vérifiez qu’il fonctionne avant d’ouvrir l’accès. Un Vanilla sans plugin ni mod d’authentification doit rester en mode officiel.

Avant l’ouverture, enregistrez les comptes du propriétaire et des administrateurs pour qu’un inconnu ne puisse pas les réserver en premier. Utilisez des mots de passe uniques, différents de ceux de Microsoft et du panel. Derrière un proxy, l’authentification et l’isolation des serveurs de jeu se configurent ensemble, comme expliqué dans la section 4.

Serveurs avec plugins (Paper, Purpur, Spigot)

AuthMe Reloaded (Paper, Purpur, Spigot)

AuthMe Reloaded est le plugin d’authentification le plus complet et le plus éprouvé sur les serveurs Bukkit, Spigot, Paper et Purpur. Dès la connexion, le joueur est figé : il ne peut ni bouger, ni ouvrir son inventaire, ni interagir avec le monde ou exécuter de commande tant que son mot de passe n’est pas validé.

Commandes joueurs

Première connexion (inscription) : /register <motdepasse> <confirmation>
Connexions suivantes : /login <motdepasse>
Changer son mot de passe : /changepassword <ancienMotDePasse> <nouveauMotDePasse>

Commandes admin

Enregistrer manuellement un joueur : /authme register <joueur> <motdepasse>
Définir un nouveau mot de passe après avoir vérifié l’identité du joueur : /authme password <joueur> <nouveauMotDePasse>
Recharger la configuration du plugin : /authme reload

Astuce confort avec FastLoginPlus :
FastLoginPlus peut éviter la saisie d’un mot de passe aux comptes officiels après vérification. Sur Paper et Spigot, il nécessite aussi ProtocolLib. Vérifiez les versions compatibles et la configuration d’AuthMe avant de l’activer.

LoginSecurity (alternative légère)

Si vous cherchez un plugin plus minimaliste pour un petit serveur entre amis, LoginSecurity va droit à l’essentiel avec une configuration très légère.

Commandes joueurs

Première connexion (inscription) : /register <motdepasse>
Connexions suivantes : /login <motdepasse>
Changer son mot de passe : /changepass <ancienMotDePasse> <nouveauMotDePasse>
Se déconnecter manuellement de sa session : /logout

Commandes admin

Définir un nouveau mot de passe pour un joueur : /lac changepass <joueur> <nouveauMotDePasse>
Recharger la configuration : /lac reload

Serveurs moddés (Fabric, Forge, NeoForge)

Un serveur moddé pur n’utilise pas les plugins Spigot/Paper. Vous devez installer un mod côté serveur (dans le dossier mods/ du serveur via l’onglet Plugins et Mods → Mods du panel), sans que vos amis aient besoin de l’installer sur leur propre jeu.

EasyAuth (Fabric)

EasyAuth est la référence moderne pour les serveurs Fabric. Entièrement côté serveur, il bloque les déplacements, les interactions et le chat tant que le joueur ne s’est pas authentifié.

Commandes joueurs

Première connexion (inscription) : /register <motdepasse> <confirmation>
Connexions suivantes : /login <motdepasse>
Changer son mot de passe : /account changePassword <ancienMotDePasse> <nouveauMotDePasse>
Supprimer son propre compte : /account unregister <motdepasse>

Commandes admin

Inscrire un joueur depuis la console : /auth register <joueur> <motdepasse>
Modifier le mot de passe d’un joueur : /auth update <joueur> <nouveauMotDePasse>
Recharger la configuration du mod : /auth reload

EasyLogin (Forge, NeoForge, Fabric)

Si vous jouez sur Forge ou NeoForge, ou si vous souhaitez un mod identique sur les trois loaders, EasyLogin maintient le joueur dans un état isolé tant que son mot de passe n’est pas confirmé.

Commandes joueurs

Première connexion (inscription) : /register <motdepasse> <confirmation>
Connexions suivantes : /login <motdepasse>
Changer son mot de passe : /changepassword <ancienMotDePasse> <nouveauMotDePasse> <confirmation>
Fermer sa session : /logout

Commandes admin

Réinitialiser le compte après avoir vérifié l’identité du joueur : /easylogin resetpassword <joueur>
Recharger la configuration : /easylogin reload

Une suppression de compte ou une réinitialisation peut rendre le pseudo disponible pour une nouvelle inscription. Effectuez cette opération avec l’accès temporairement fermé, puis accompagnez le joueur jusqu’à sa réinscription. Ne forcez jamais la connexion d’un pseudo sans en avoir vérifié le propriétaire.

Bon à savoir sur les gros modpacks :
Un client Vanilla incompatible avec votre modpack peut être refusé avant d’entrer. Ce contrôle de compatibilité ne remplace ni la liste blanche ni l’authentification des joueurs.

NukkitX et Crossplay (Java + Bedrock)

Si vous hébergez un serveur NukkitX ayant désactivé l’authentification Xbox ou un serveur crossplay Java + Bedrock en mode non-officiel, voici les outils adaptés :

FormAuth et TopLogin (NukkitX)

Sur un serveur NukkitX, deux plugins installables en 1 clic depuis votre catalogue BoxToPlay permettent de verrouiller les comptes :

FormAuth : affiche directement une fenêtre d’inscription et de connexion native Bedrock à l’écran dès l’arrivée du joueur, sans même avoir à ouvrir le chat. En cas d’oubli, un administrateur peut réinitialiser le mot de passe avec /apr <joueur> <nouveauMotDePasse> <confirmation>.
TopLogin : propose une authentification légère par formulaire ou par commandes (/login <motdepasse>, /passwd <nouveauMotDePasse> pour le joueur, et /setpasswd <joueur> <nouveauMotDePasse> côté console/admin).

Geyser et Floodgate (Crossplay Java + Bedrock)

Si vous accueillez des joueurs Bedrock sur votre serveur Java grâce à Geyser (ou via le pack préconfiguré Java + Bedrock), l’extension indispensable s’appelle Floodgate.

Floodgate permet aux joueurs Bedrock authentifiés avec leur compte Microsoft de rejoindre un serveur Java sans posséder Java Edition. Utilisez la version adaptée à votre serveur ou proxy et le mode auth-type: floodgate dans Geyser. Gardez la clé key.pem privée. Si vous utilisez AuthMe, vérifiez la compatibilité et la configuration de votre version avant de dispenser les joueurs Bedrock du mot de passe. Cette dispense ne doit jamais s’appliquer aux joueurs Java non authentifiés. Retrouvez les étapes dans notre guide pour configurer GeyserMC.

Commandes utiles

Vérifier l’état de la passerelle et les diagnostics : /geyser dump
Ajouter un joueur Bedrock à la whitelist Floodgate : /fwhitelist add PseudoBedrock
Le retirer de cette liste : /fwhitelist remove PseudoBedrock

4. Isoler un réseau BungeeCord ou Velocity

Si vous administrez un réseau composé de plusieurs serveurs reliés par un proxy BungeeCord ou Velocity, vous devez prêter une attention particulière à la protection de vos serveurs de jeu sous-jacents (les serveurs dits « backend »). N’hésitez pas à consulter notre guide dédié à la création d’un réseau BungeeCord et Velocity pour approfondir cette architecture.

Le piège du proxy contourné

Dans une architecture réseau classique :

Les joueurs se connectent uniquement à l’adresse publique de votre proxy.
Le proxy vérifie l’identité du joueur et le redirige vers le lobby, le serveur survie ou les mini-jeux.

Les serveurs backend utilisent online-mode=false, car le proxy assure l’authentification en amont. Gardez online-mode=true sur le proxy pour vérifier les comptes officiels. Si votre réseau accepte le mode hors ligne, son système d’authentification doit aussi empêcher de quitter le serveur de connexion avant l’identification.

Le danger : si un serveur backend accepte n’importe quelle connexion directe sans vérifier qu’elle provient bien de votre proxy, un scanner d’adresses IP peut trouver le port du serveur backend et s’y connecter directement en contournant le proxy !

Verrouiller les serveurs backend

Quand vous maîtrisez le pare-feu de la machine, limitez aussi l’accès aux ports backend au seul proxy. Sur un hébergement partagé, utilisez les protections de transfert adaptées ci-dessous et contactez le support si vous avez un doute sur l’isolation. Le secret Velocity ou BungeeGuard reste confidentiel.

Serveurs Paper et Purpur

Avec Velocity (recommandé) : utilisez le transfert moderne (modern). Pour un backend Paper compatible lié depuis le panel BoxToPlay, la configuration active proxies.velocity.enabled et renseigne le secret partagé dans config/paper-global.yml. Redémarrez le backend pour charger ces réglages, puis vérifiez que l’entrée par le proxy fonctionne et qu’une connexion directe est refusée.
Avec BungeeCord : le mode classique (settings.bungeecord: true dans spigot.yml) ne vérifie aucun secret. Installez BungeeGuard sur le proxy et chaque backend. Copiez le jeton généré par le proxy dans allowed-tokens sur chaque backend, puis redémarrez-les. L’installation du plugin seule ne suffit pas.

Serveurs moddés (Fabric, Forge, NeoForge)

Sur Fabric : installez et configurez FabricProxy-Lite avec le même secret que Velocity. CrossStitch peut compléter la compatibilité des commandes moddées, mais ne remplace pas cette vérification.
Sur Forge et NeoForge : Proxy Compatible Forge (PCF) permet le transfert moderne sur les versions prises en charge. Configurez ce mode et le secret partagé dans PCF, pas seulement dans Velocity. Pour Forge 1.13 à 1.20.1, Ambassador peut aussi être nécessaire sur le proxy pour la compatibilité du protocole moddé.

5. Réduire les informations exposées et protéger les accès

Certains scanners interrogent le statut du serveur pour en relever la version, la description ou un aperçu des joueurs. Vous pouvez limiter ces informations, mais cela ne rend pas le port du serveur invisible.

Sur Java, les options suivantes se trouvent dans server.properties et, selon la version, dans Configuration sur le panel :

Masquer l’aperçu des joueurs (hide-online-players=true) : retire la liste des pseudos de la réponse au ping. Cela ne masque pas le nombre de joueurs et ne protège pas les pseudos déjà connus par ailleurs.
Désactiver la réponse de statut (enable-status=false) : le serveur apparaît hors ligne dans la liste multijoueur, mais les joueurs peuvent toujours tenter de le rejoindre. Prévenez vos amis pour qu’ils ne prennent pas cet affichage pour une panne.
Conserver les profils sécurisés (enforce-secure-profile=true) : sur les versions Java compatibles, cette option refuse les joueurs sans clé publique signée par Mojang. Elle ne garantit pas à elle seule que tous les messages sont signés et ne remplace pas online-mode=true. Pour un proxy ou le crossplay, respectez les réglages compatibles avec votre installation.
Garder le mot de passe RCON privé : RCON permet d’envoyer des commandes administrateur à distance. Conservez le mot de passe fort généré par BoxToPlay et les réglages techniques gérés par le panel. Le protocole Query fournit des informations de serveur et n’est pas protégé par ce mot de passe.

6. Protéger un serveur public (Anti-Bot et Anti-VPN)

Si vous gérez un serveur communautaire ouvert aux nouveaux joueurs, la whitelist n’est évidemment pas envisageable. Comment empêcher qu’une attaque de bots ne sature votre serveur de fausses connexions ?

Choisir un plugin anti-bot compatible : UltimateAntiBot et EpicGuard sont des projets gratuits et open source. Vérifiez la version Minecraft et le moteur pris en charge avant l’installation. Sur un réseau, placez la protection à l’entrée, sur le proxy, avec le fichier prévu pour celui-ci.
Régler les contrôles avec vos joueurs : les vérifications anti-VPN peuvent refuser des joueurs légitimes et utiliser des services externes avec leurs propres quotas ou tarifs. Testez aussi les connexions Geyser/Floodgate avant de durcir le filtrage.

Ces plugins filtrent des connexions Minecraft. Ils ne remplacent pas la protection réseau contre une attaque DDoS et ne garantissent pas l’arrêt de tous les bots.

7. Permissions, Rollback anti-grief et outils du panel

Au quotidien, complétez ces protections avec les outils de votre panel BoxToPlay :

Limiter l’usage du /op avec LuckPerms : évitez de donner les droits d’opérateur complet (/op) à tous vos joueurs ou modérateurs. Un gestionnaire de permissions gratuit comme LuckPerms permet d’accorder uniquement les commandes nécessaires à chaque rôle.
Préparer un historique avant un grief : sur Paper et Purpur, CoreProtect permet d’inspecter les actions enregistrées avec /co inspect. Pour annuler les actions d’un joueur sur les deux dernières heures dans un rayon de 20 blocs autour de vous, commencez par /co rollback u:<pseudo> t:2h r:20 #preview. Après vérification et sauvegarde, retirez #preview pour appliquer le retour en arrière. Le plugin doit avoir été installé avant les dégâts. Sur Fabric, Ledger propose aussi un historique et des retours en arrière. GriefLogger journalise les interactions sur les versions compatibles de Forge, NeoForge et Fabric, sans offrir à lui seul le même système de rollback.
Gérer vos accès en 1 clic dans l’onglet Joueurs : ajoutez ou retirez vos amis de la Whitelist, gérez vos Opérateurs (OP) et bannissez un pseudo ou une adresse IP directement depuis l’interface visuelle ou la Saisie manuelle.
Déléguer sans partager vos identifiants grâce aux Co-administrateurs : utilisez la rubrique Autres → Co-administrateur pour accorder à vos modérateurs uniquement les permissions souhaitées sur le panel (console, whitelist, joueurs), sans jamais communiquer votre mot de passe ni vos accès FTP.
Restaurer une sauvegarde : consultez les dates des sauvegardes disponibles dans Autres → Sauvegardes et choisissez un point antérieur au problème. Une restauration complète remplace l’état actuel du serveur et fait perdre les changements effectués depuis ce point.

Gardez enfin votre serveur, ses plugins et ses mods à jour, et protégez votre compte BoxToPlay avec un mot de passe unique et la double authentification. Avec une liste blanche adaptée, des identités vérifiées et des sauvegardes disponibles, un pseudo inconnu dans les logs devient beaucoup plus simple à gérer.

Envie de lancer une nouvelle aventure multijoueur sur une machine performante, protégée et sauvegardée au quotidien ? Découvrez dès maintenant nos offres d’hébergement serveur Minecraft BoxToPlay et configurez votre monde en quelques clics !