Pot de miel

Le Honeypot te permet de tendre des pièges. Un salon dans lequel personne ne devrait écrire, un rôle que personne ne devrait porter, une invitation que personne ne devrait avoir : quiconque tombe dans l’un d’eux est sanctionné automatiquement, sans aucune action d’un modérateur.

Il est conçu pour attraper les spammeurs, les self-bots et les comptes compromis qui arrosent tous les salons qu’ils peuvent voir, tandis que les vrais membres qui respectent tes règles ne le déclenchent jamais.

1. Salons pièges : les salons pièges. Toute personne non exemptée qui écrit ici est sanctionnée.
2. Action au déclenchement : avertir, mute, expulser ou bannir. Commence par mute ou avertir.
3. Rôles exemptés : les membres qui ont l’un de ces rôles ne déclenchent jamais le piège. Ajoute tes rôles de modérateur et de bot.

🍯 Comment ça marche

Tu marques un ou plusieurs salons comme salons pièges.

Quand un membre non exempté envoie un message dans l’un de ces salons, YAWBDB :

1. Supprime le message.
2. Applique l’action que tu as configurée (bannir, expulser, mute ou avertir).
3. Envoie éventuellement un MP au membre pour expliquer ce qui s’est passé.
4. Enregistre le déclenchement dans les journaux.

Exemple : un salon #do-not-post placé à un endroit où les comptes curieux ou automatisés le trouveront. Les vrais membres n’ont aucune raison d’y écrire : les bots qui spamment tous les salons se dénoncent instantanément.

🎭 Les trois sortes de pièges

Un piège à salon n’attrape que quelqu’un qui écrit. Les deux autres attrapent des comptes qui ne disent jamais un mot.

💬 Piège à salon

Le piège d’origine : un salon où écrire est l’infraction. Décrit plus haut.

🎫 Piège à rôle

Choisis un rôle que rien de légitime n’attribue et liste-le dans Rôles pièges. Un membre qui se retrouve à le porter est sanctionné et le rôle lui est aussitôt retiré.

La configuration habituelle est un leurre dans un message de Reaction Roles : quelque chose de tentant comme Staff ou Free Nitro à côté de tes vrais rôles à s’attribuer soi-même. Un compte qui clique sur tout pour voir ce qu’il peut obtenir le prend ; un membre qui lit la liste, non.

Un membre du staff qui attribue le rôle n’est pas une prise. Si un humain ayant la permission Manage Roles donne le rôle piège à quelqu’un, par une fausse manipulation en déplaçant des rôles ou par une attribution délibérée, personne n’est sanctionné. C’est consigné en gris à la place, pour que tu puisses voir que cela s’est produit.

Faire la différence entre les deux demande la permission View Audit Log du bot. Sans elle, le bot ne peut pas voir qui a attribué le rôle, et chaque attribution compte comme un déclenchement. Donne-lui cette permission avant d’utiliser un piège à rôle.

Un bot qui attribue le rôle est une prise : c’est YAWBDB lui-même qui attribue un Reaction Role, donc épargner les bots désactiverait tout l’intérêt.

Seul un rôle qui vient tout juste d’arriver compte. Quelqu’un qui porte déjà le piège ne le redéclenche pas à chaque changement de pseudo.

🔗 Piège à invitation

Crée une invitation, liste son code dans Invitations pièges, et publie-la là où seul un scraper ou une liste de raid la trouverait. Quiconque rejoint par elle est sanctionné avant d’avoir dit un mot.

Deux exigences, sans lesquelles le piège ne fonctionne pas :

• Le bot a besoin de la permission Manage Server. C’est le seul moyen de lire les compteurs d’utilisation des invitations.
• Crée l’invitation piège avec des utilisations illimitées et sans expiration. Discord supprime une invitation dès qu’elle atteint sa limite, et le bot ne peut pas distinguer un piège épuisé d’un modérateur qui supprime une invitation : il n’agit donc dans aucun des deux cas.

Colle le code (la partie après discord.gg/), pas le lien entier. Un lien entier fonctionne aussi ; seul le dernier segment est conservé.

Quand le bot n’est pas sûr, personne n’est sanctionné. Discord ne dit jamais quelle invitation un membre a utilisée. Le bot le déduit en surveillant quel compteur d’utilisation bouge quand quelqu’un arrive. Si deux membres arrivent au même instant, deux compteurs bougent et il n’y a aucun moyen de les apparier : il ne sanctionne donc ni l’un ni l’autre et consigne qu’il n’a pas pu trancher. Il en va de même pour la première arrivée après le redémarrage du bot, avant qu’il ait une base de comparaison.

Si tu utilises aussi Invite Guard, ajoute tes invitations pièges à ce qu’il autorise. Sinon il les révoque et le piège disparaît discrètement.

🚨 Relais vers l’Anti-Raid

Un piège qui se déclenche, c’est un membre qui se comporte mal. Plusieurs en une minute, c’est un raid.

Règle Passer le relais à l’Anti-Raid après N déclenchements et choisis une fenêtre. Quand autant de déclenchements se produisent dans cette fenêtre (salon, rôle et invitation comptent ensemble), le bot demande un verrouillage à l’Anti-Raid.

Cela attrape les raids que le compteur d’arrivées propre à l’Anti-Raid rate : des attaquants qui arrivent assez lentement pour rester sous le seuil d’arrivées tombent quand même dans le même salon leurre ou cliquent sur le même rôle leurre.

• L’Anti-Raid doit être activé sur le serveur. S’il ne l’est pas, le relais est écrit dans ton salon de journal et rien d’autre ne se passe : un réglage du honeypot n’activera pas des verrouillages dans ton dos.
• Le verrouillage est celui de l’Anti-Raid, avec sa propre action. Si cette action est expulser ou bannir, il retire aussi les membres arrivés dans les 30 dernières secondes, ce qui peut toucher quelqu’un qui n’a rien fait. Fixe le seuil assez haut pour que l’atteindre signifie vraiment un raid, et non trois membres curieux à la suite.
• 0 désactive le relais, ce qui est la valeur par défaut.

⚙️ Actions

Tu choisis une seule action qui s’applique chaque fois que le honeypot est déclenché.

🔨 Bannir

Retire le membre du serveur et lui en bloque l’accès.

👢 Expulser

Retire le membre du serveur. Il peut revenir avec une nouvelle invitation.

🔇 Mute

Met le membre en timeout pour une durée configurable (en minutes).

⚠️ Avertir

Consigne uniquement le déclenchement : aucune sanction Discord n’est appliquée. Utile pour tester ta configuration ou surveiller un salon sans agir.

🛡️ Rôles exemptés

Les membres qui ont un rôle exempté ne déclenchent jamais le honeypot.

Ajoute ici tes rôles d’admin, de modérateur et de bot pour que ton équipe puisse écrire librement dans les salons pièges sans être sanctionnée.

Les bots sont toujours ignorés, YAWBDB lui-même compris.

📢 Embed d’avertissement

Tu peux, si tu le souhaites, demander au bot de garder un embed d’avertissement dans chaque salon piège, pour dire aux membres de ne pas y écrire.

• L’embed est épinglé automatiquement et publié dès que tu enregistres ta sélection de salons.
• Il est republié automatiquement s’il disparaît.
• Il est retiré si tu désactives l’option.
• Tu peux définir un titre et un message personnalisés, ou les laisser vides pour des valeurs par défaut raisonnables.

Utilise un embed d’avertissement quand le honeypot doit servir de dissuasion visible (« écrire ici entraîne un bannissement immédiat »). Laisse-le désactivé quand tu veux que le salon ressemble à un salon normal et attrape discrètement les fautifs.

✉️ MP au déclenchement

Tu peux, si tu le souhaites, envoyer au membre sanctionné un message privé expliquant l’action.

Les MP peuvent échouer silencieusement si le membre a désactivé ses messages privés ou ne partage plus le serveur (par exemple après un bannissement).

📋 Journalisation

Les déclenchements du honeypot sont enregistrés pour que tu gardes une trace de chaque prise.

Salon de journal propre

Quand c’est activé, le bot publie un embed détaillé pour chaque déclenchement dans un salon de journal de ton choix : l’utilisateur, le salon, le contenu du message et l’action entreprise.

Tu peux le désactiver entièrement.

🔗 Honeypot et Server Logs

Quand la fonctionnalité Server Logs est active et qu’un salon de journal Moderation est configuré, les déclenchements du honeypot arrivent automatiquement dans ce flux, à côté des actions manuelles, d’Automod et de l’Anti-Raid.

Dans ce cas, le salon de journal propre du honeypot est contourné, pour que chaque déclenchement soit consigné une fois, pas deux. Si tu désactives Server Logs (ou sa catégorie Moderation), le honeypot revient à son propre salon de journal.

🔗 Honeypot et modération

Chaque prise du honeypot (sauf les simples avertissements) est enregistrée dans l’historique des sanctions du membre, exactement comme une sanction manuelle, avec la source Honeypot.

Cela signifie que les bannissements et les mutes du honeypot apparaissent dans l’historique de modération, comptent dans le dossier du membre et, le cas échéant, peuvent générer des liens d’appel comme les autres sanctions.

Le message déclencheur est inclus dans le motif de la sanction, pour que tu saches toujours ce qui a été publié.

👍 Configuration recommandée

1. Crée un salon dans lequel les vrais membres n’ont aucune raison d’écrire (par exemple un #do-not-post clairement nommé, ou un leurre qui ressemble à un salon de concours ou de vérification).
2. Marque-le comme salon piège.
3. Exempte tes rôles de staff et de bot.
4. Commence par mute ou avertir pendant que tu vérifies que la configuration se comporte comme prévu, puis passe à expulser ou bannir.
5. Active un embed d’avertissement si tu veux qu’il serve de dissuasion, ou laisse-le désactivé pour un piège silencieux.
6. Assure-toi que Server Logs (ou un salon de journal propre) est configuré pour pouvoir examiner les prises.

Une fois que cela fonctionne, ajoute les deux autres pièges :

7. Donne au bot View Audit Log, puis ajoute un rôle leurre à un message de Reaction Roles et liste-le dans Rôles pièges.
8. Donne au bot Manage Server, crée une invitation avec des utilisations illimitées et sans expiration, liste son code, et publie-la quelque part où seul un scraper irait chercher.
9. Seulement quand tout cela tourne tranquillement depuis un moment, fixe un seuil de relais, et fixe-le haut.

💡 Bonnes pratiques

• Exempte toujours tes rôles de modération et de bot avant d’activer une action destructrice.
• Utilise d’abord avertir pour vérifier que le salon et les exemptions sont corrects.
• Un piège silencieux (sans embed d’avertissement) attrape plus de bots ; un piège visible dissuade les humains.
• Place le honeypot là où les comptes automatisés le trouveront mais où les vrais membres n’écriront pas par accident.
• Examine régulièrement les prises du honeypot dans ton historique de modération ou dans Server Logs pour confirmer qu’il n’y a pas de faux positifs.
• Donne au rôle piège un nom qui tente plutôt qu’il n’avertit. Do not click n’attrape personne ; Staff en attrape beaucoup.
• Ne place jamais un rôle piège au-dessus d’un vrai rôle dans la hiérarchie, et ne lui donne jamais de permissions. C’est un appât, pas un accès.
• Regarde aussi les entrées grises de ton salon de journal : « rôle attribué par le staff » et « arrivée non attribuée » sont le bot qui te dit qu’il a choisi de ne pas agir, et les deux méritent d’être lus.