Si votre serveur Discord vient de subir un nuke, commencez par arrêter l'hémorragie (verrouillez le serveur ou retirez les rôles du compte compromis). Identifiez ensuite qui a fait cela grâce au journal d'audit. Reconstruisez enfin les salons et les rôles à partir d'un modèle si vous en avez un, levez les bannissements de la liste des bannis, et considérez les messages comme perdus, car Discord ne permet pas de les restaurer. C'est l'ordre pratique des opérations, et non la théorie de la façon dont les bots anti-nuke détectent une attaque. Cette théorie est traitée dans notre guide anti-nuke. Celui-ci indique ce qu'il faut réellement faire pendant la première heure, le premier jour, puis par la suite.
D'abord : vérifiez que l'attaque s'est réellement arrêtée
Avant de toucher à quoi que ce soit d'autre, assurez-vous que l'attaquant ne peut plus agir. Si un bot anti-nuke fonctionne, consultez son salon de logs : il doit montrer que le compte a été exclu temporairement, expulsé ou banni automatiquement. S'il n'y a aucune protection anti-nuke, ou si l'attaque provient d'un compte que le bot exempte (le compte du propriétaire du serveur ne peut pas être sanctionné par l'anti-nuke, et tout compte figurant sur une liste de confiance est volontairement ignoré), agissez manuellement : retirez les rôles du compte ou expulsez-le. Si c'était un compte du staff compromis, demandez immédiatement à cette personne de changer son mot de passe Discord et de vérifier ses applications autorisées. Un nuke est très souvent la suite d'un jeton volé par hameçonnage, et non une attaque aléatoire.
Identifier ce qui s'est passé : le journal d'audit
Paramètres du serveur → Journal d'audit enregistre chaque suppression de salon, suppression de rôle, bannissement et expulsion, avec le compte qui l'a effectuée et l'horodatage. C'est la source de vérité pour « qui » et « dans quelle mesure ». Consultez-la avant de supposer quoi que ce soit, car un nuke commis par un compte administrateur compromis ressemble, sur le moment, à un nuke commis par un bot disposant de trop de permissions. Si vous utilisez un bot de sécurité, son propre salon de logs fournit généralement un résumé plus clair de ce qui a déclenché sa réaction et à quel moment. Il est plus rapide à lire que de parcourir entrée par entrée le journal d'audit natif de Discord.
Reconstruire : ce que vous pouvez et ne pouvez pas récupérer
- Salons et catégories : perdus, sauf si vous disposez d'un modèle de serveur. Paramètres du serveur → Modèle de serveur permet de générer à tout moment un instantané de la structure de vos salons et rôles. Si vous en avez créé un avant l'attaque, l'appliquer reconstruit la structure en moins d'une minute. Si vous n'en avez jamais créé, vous recréez les salons à la main, de mémoire ou à partir de captures d'écran.
- Rôles et permissions : même chose que pour les salons. Un modèle restaure la structure, mais pas les personnes attribuées à chaque rôle. Réattribuer les rôles à la main par la suite est la partie la plus longue.
- Messages : irrécupérables. Discord ne propose aucune fonction côté serveur pour restaurer le contenu des messages supprimés. Si certains d'entre eux avaient de la valeur pour les dossiers (et non pour la conversation : historique de support, ventes, avis), vérifiez s'ils étaient stockés ailleurs que dans le chat brut. Noxyr conserve les factures et les transcriptions de tickets dans sa propre base de données, précisément pour qu'un nuke ne les emporte pas avec les salons.
- Bannissements : si l'attaquant a banni en masse des membres, Paramètres du serveur → Bannissements permet de les lever en lot. C'est fastidieux, mais entièrement réversible : un bannissement ne détruit aucune donnée, il empêche seulement de revenir.
- Le serveur lui-même : un nuke, aussi grave soit-il, ne supprime ni le serveur ni son propriétaire. C'est toujours un travail de récupération, jamais une reconstruction à partir de rien.
Prévenez vos membres avant qu'ils ne découvrent un serveur vide
Un serveur qui soudain n'a plus que trois salons et aucun rôle paraît abandonné ou compromis pour quiconque ne l'a pas vu se produire. Publiez un message dans le salon encore existant (ou le premier que vous reconstruisez) qui explique en une ou deux phrases ce qui s'est passé et que tout est en cours de restauration. Le silence est pire qu'un « nous avons subi un nuke, nous réparons en ce moment » honnête.
Une fois la situation stabilisée : combler la vraie faille
Un nuke survient parce qu'un compte disposait de plus de permissions que nécessaire, et qu'il a été soit compromis, soit malveillant. Corriger le désordre immédiat sans corriger cette faille vous laisse à un incident de la récidive :
- Auditez chaque rôle disposant de la permission Administrateur, Gérer les salons, Gérer les rôles ou Bannir des membres. Retirez-la à toute personne qui n'en a pas strictement besoin. Consultez notre guide de configuration des rôles au moindre privilège.
- Vérifiez que chaque bot du serveur ne dispose pas des mêmes permissions. Un bot qui a plus d'accès que ne l'exige sa fonctionnalité représente une seconde surface d'attaque, avec le même rayon d'action qu'un administrateur compromis.
- Activez la protection anti-nuke et anti-spam si elle était désactivée, et définissez un salon de logs pour que le prochain incident, espérons-le jamais, laisse une trace claire dès la première seconde.
- Créez dès maintenant un modèle de serveur, pendant que tout est calme, afin que la prochaine reconstruction prenne une minute au lieu d'une journée.
- Exigez la double authentification (2FA) pour toute personne disposant de rôles élevés, dans Paramètres du serveur → Configuration de sécurité.
Questions fréquentes
Le support Discord peut-il restaurer un serveur victime d'un nuke ? Discord ne restaure pas les salons, rôles ou messages supprimés lors d'incidents au niveau du serveur. La récupération incombe au propriétaire du serveur. Contactez le support Discord uniquement si le compte du propriétaire lui-même a été compromis et qu'il n'y a plus accès du tout. Il s'agit alors d'un problème de sécurité de compte, distinct des dégâts causés au serveur.
Comment savoir s'il s'agit d'un compte du staff compromis ou d'un bot malveillant ? Le journal d'audit indique le compte exécutant pour chaque action. S'il s'agit d'un compte de bot, vérifiez les permissions que ce bot avait réellement besoin d'avoir par rapport à celles qu'il possédait. S'il s'agit d'un compte humain, le mot de passe et les applications connectées de cette personne doivent être vérifiés, qu'elle ait agi délibérément ou non.
Dois-je bannir le compte qui a commis l'attaque ? Si le compte est clairement malveillant et ne correspond pas à un ami ou un membre du staff compromis avec qui vous pouvez discuter, oui. S'il s'agit d'un compte compromis appartenant à une personne que vous connaissez, l'expulsion ou une exclusion temporaire pendant qu'elle sécurise son compte suffit généralement. Bannir le compte piraté d'un ami peut compliquer son retour une fois le problème réglé.
L'anti-nuke empêchera-t-il cela la prochaine fois ? Il limite les dégâts. Un bot correctement configuré avec l'anti-nuke transforme « tout le serveur a disparu » en « quelques salons et un compte exclu temporairement ». Il ne peut pas annuler les actions effectuées avant que la limite ne soit franchie. Consultez le guide anti-nuke pour les limites et les réglages.
Existe-t-il un moyen de récupérer des messages supprimés ? Non, pas via Discord. Si le contenu des messages doit survivre à un incident, il doit être sauvegardé en dehors du chat brut : un document de règlement épinglé, des registres exportés, ou un bot qui conserve sa propre copie de ce qui compte, comme les transcriptions et les factures.
Prévenez le prochain incident avec un bot de sécurité qui surveille le journal d'audit en continu, et lisez le guide de protection contre les raids pour la moitié de la défense du serveur qui concerne les arrivées.