Le scanner de mods de DonutSMP repose sur un bug de Minecraft que Mojang n'a toujours pas corrigé

Ce qui s’est passé : DonutSMP, l’un des serveurs Minecraft publics les plus fréquentés, détecte les clients de triche comme Meteor et des mods comme Freecam grâce à une astuce connue sous le nom d’exploit de traduction des panneaux. Votre client est forcé d’ouvrir un panneau invisible pendant une fraction de seconde, et sa réponse révèle les mods que vous avez installés. Des joueurs affirment que ce même scanner a banni des gens à cause de packs de ressources et de mods client inoffensifs, et la faille sur laquelle il s’appuie n’est toujours pas corrigée dans Minecraft vanilla.

Qui est concerné

Tous ceux qui jouent à Minecraft : Java Edition 1.20 ou plus récent sur un serveur qui utilise la technique. Cela inclut DonutSMP et le nombre croissant de serveurs équipés de plugins imitateurs comme ModDetector, ModCheck et AntiMod. Les joueurs de Bedrock Edition ne sont pas concernés.

Les cibles évidentes sont les clients de triche. Mais la même sonde fonctionne avec n’importe quel mod qui ajoute son propre texte : un serveur peut donc aussi voir des mods inoffensifs de performance, de carte ou de confort. Il peut également lire vos touches et la langue de votre jeu.

Comment ça marche

Le texte de Minecraft peut contenir des marqueurs : une clé de traduction comme key.freecam.toggle ou une référence à une touche. Votre jeu les remplace par du vrai texte à partir de vos fichiers de langue et de vos réglages, y compris les fichiers ajoutés par vos mods.

1. À votre connexion, le serveur pose un panneau contenant ces marqueurs et force l’ouverture de l’éditeur de panneau sur votre écran.
2. L’éditeur se referme avant que vous puissiez le voir.
3. Depuis la 1.20, fermer l’éditeur convertit le panneau en texte brut et le renvoie au serveur, avec les marqueurs déjà remplis.
4. Si la réponse indique « Toggle Freecam » au lieu de la clé brute, le serveur sait que Freecam est installé. Le ban peut suivre automatiquement.

Des chercheurs ont ensuite découvert que la même astuce fonctionne en renommant un objet dans une enclume. Avant la 1.20, ce texte ne s’affichait que sur votre propre écran, c’est pourquoi l’équipe de Wurst décrit ce changement comme une fuite de données personnelles qui a causé de vrais dégâts.

Qui est responsable

Mojang est responsable du bug. MC-265322 est public depuis l’époque de la 1.20 et, en novembre 2026, le wiki de Wurst n’indique toujours aucun correctif officiel. Tous les joueurs Java dépendent de Mojang pour combler la faille.

DonutSMP a choisi de bâtir son anti-cheat sur cette fuite plutôt que de s’en tenir à des vérifications de gameplay. Attraper les tricheurs est un objectif légitime sur un serveur compétitif. Lire discrètement le contenu des clients des joueurs, avec des bans automatiques et sans liste claire de ce qui est interdit, va beaucoup plus loin, et chaque faux positif retombe sur un vrai joueur.

Les créateurs de clients de triche sont engagés dans une course à l’armement avec lui. Meteor Client a tenté de bloquer la sonde, et son correctif était lui-même détectable, car il renvoyait la clé brute au lieu du texte de secours attendu.

Ce qu’ils disent

Nous n’avons trouvé aucune déclaration technique publique de DonutSMP sur le scanner, sa liste de mods détectés ou sa gestion des faux positifs. Des avis de joueurs décrivent des bans levés après des tickets au support, ce qui laisse penser que les recours fonctionnent au moins dans certains cas. Mojang ne s’est pas exprimé publiquement sur MC-265322. Si l’un ou l’autre réagit, nous le signalerons.

Les autres polémiques de DonutSMP en 2026

Le scanner de mods n’a pas été le seul conflit entre DonutSMP et ses joueurs cette année.

• La vague de bans pour bot (avril) : des dizaines de joueurs sur r/DonutSMP ont signalé des bans définitifs pour « botting » après être restés AFK dans les zones AFK du serveur lui-même ou avoir utilisé des mods autorisés. Un joueur dit avoir perdu deux comptes valant environ 250 millions d’argent en jeu. Les recours ont traîné des jours, pendant que les vrais tricheurs continuaient, selon les joueurs, à piller des bases. Ce sont des témoignages de joueurs. DonutSMP n’a pas publié le fonctionnement de sa détection.
• Le virage pay-to-win (août) : une boutique de shards vendant des boosts de progression directs et des spawners, des spawners de mobs affaiblis et de nouveaux systèmes anti-AFK et de surveillance ont fait dire aux critiques que c’était le début de la fin pour l’économie du serveur fondée sur le grind.
• Faux sites de triche (octobre) : un site se faisant passer pour un portail de triche DonutSMP a diffusé le malware SilentNet auprès de joueurs en quête d’avantage. Voir notre guide sur les malwares dans les mods.

Que faire maintenant

1. Partez du principe que tout serveur Java peut voir vos mods. Si un serveur interdit un mod, supposez qu’il peut le détecter et retirez-le avant de vous connecter.
2. Consultez les règles du serveur sur les mods autorisés et gardez un profil de mods séparé et minimal pour les serveurs stricts.
3. Méfiez-vous des packs de ressources qui embarquent des fichiers de langue de mods. Ils peuvent donner l’impression que vous avez un mod installé.
4. En cas de ban injuste, faites un recours détaillé : votre liste de mods, vos packs de ressources et l’heure du ban.
5. Des mods de confidentialité existent. Des mods Fabric comme ExploitPreventer et OpSec empêchent votre client de résoudre ces marqueurs. Certains serveurs jugent les clients « protégés » suspects, alors lisez d’abord les règles.
6. Votez pour MC-265322 sur le bug tracker de Mojang. Un correctif vanilla protège tous les joueurs, pas seulement ceux qui utilisent des mods.

Plus d’articles sur la sécurité des serveurs : Sécurité et exploits et tout sur DonutSMP.