Sécurité

Un outil de protection doit être irréprochable lui-même.

Cette page décrit précisément ce que fait AntiFast, les données qu'il conserve et les mesures prises pour les protéger.

Comment AntiFast décide d'intervenir

Le bot ne se fie pas aux permissions Discord, puisque c'est précisément un compte disposant de ces permissions qui mène une attaque. Pour chaque action sensible, il identifie l'auteur grâce au journal d'audit du serveur, puis vérifie s'il fait partie des comptes de confiance : propriétaire du serveur, titulaire de l'abonnement, whitelist et bots autorisés.

Si l'auteur n'est pas de confiance, le module concerné applique sa sanction et annule l'action. Si l'auteur ne peut pas être identifié, AntiFast restaure l'élément supprimé sans sanctionner personne.

Toutes les décisions sont tracées : salon de logs, messages privés aux personnes désignées et journal du panel, avec l'auteur, le module et les mesures prises.

Ce qui est conservé

AntiFast ne conserve que ce qui est nécessaire au fonctionnement du service :

Configuration : réglages des modules, listes d'identifiants (whitelist, bots autorisés, alertes), paramètres des tickets et modèles de messages.
Structure du serveur : noms, permissions et positions des rôles et des salons, et la liste des membres de chaque rôle, utilisées pour la restauration et les sauvegardes.
Journal : incidents de sécurité et sanctions, avec l'identifiant de l'auteur et de la cible.
Panel : votre identifiant, votre pseudo et votre avatar Discord, transmis lors de la connexion, ainsi que la liste des membres de votre équipe.

AntiFast ne conserve pas le contenu des messages de votre serveur. Seuls les messages à l'origine d'un incident (mot interdit, salon verrouillé) en reprennent un extrait dans le journal. Les transcripts de tickets sont envoyés dans votre salon Discord et ne sont pas stockés par AntiFast.

Mesures techniques

Token du bot : transmis une seule fois depuis le panel, vérifié auprès de Discord, puis conservé côté serveur. Il n'est jamais renvoyé au navigateur ni affiché, y compris pour vous.
Connexion au panel : authentification par Discord, sans mot de passe propre au service. La session est protégée contre la falsification de requêtes et expire au bout de sept jours.
Cloisonnement : chaque serveur protégé dispose de son propre processus et de sa propre base de données. Un membre de votre équipe n'accède qu'aux services auxquels vous l'avez invité.
Transport : le site et le panel ne sont servis qu'en HTTPS.
Hébergement : les données sont hébergées sur un serveur situé en France.

Accès de l'équipe AntiFast

Par défaut, l'équipe de support peut utiliser les commandes du bot sur votre serveur afin de vous aider en cas de problème. Cet accès se désactive à tout moment depuis la page Accès et whitelist du panel ; il prend effet immédiatement.

Le token de votre bot n'est affiché dans aucune interface, y compris celles du support.

Sécuriser votre serveur

AntiFast limite les dégâts d'un compte compromis ; ces bonnes pratiques réduisent le risque qu'il le soit :

Activez l'authentification à deux facteurs sur votre compte et exigez-la pour la modération (Paramètres du serveur → Sécurité).
Accordez la permission Administrateur au strict minimum de personnes. Préférez des rôles aux permissions ciblées.
Gardez la whitelist courte : un compte whitelisté compromis n'est pas arrêté par la protection.
N'ajoutez que des bots de confiance, et déclarez-les dans la liste des bots autorisés.
Méfiez-vous des QR codes de connexion et des pages imitant Discord : c'est la cause la plus fréquente de vol de compte.
Si le token de votre bot a pu être exposé, régénérez-le sur le portail développeur et saisissez-le à nouveau dans le panel.