v1.0.0OneSync · Standalone

YourAC, l'anti-cheat pour FiveM

YourAC protège votre serveur FiveM contre les tricheurs et donne à votre staff les outils pour agir : détections côté client et côté serveur, validation OneSync, preuves par capture d'écran, bans difficiles à contourner, panel en jeu et panel web avec connexion Discord.

Installer YourAC Voir les détections

Ce qu'il fait#

Deux fichiers de configuration#

Tout se configure dans config.lua, sauf les secrets (webhook, token du bot, connexion Discord du panel web) qui vont dans config_server.lua. La plupart des réglages se modifient aussi en direct depuis le panel, en jeu ou depuis un navigateur.

Par où commencer#

Compatibilité#

Installation

Aucune base de données à préparer : les bans, preuves et réglages sont enregistrés dans les fichiers de la ressource.

Prérequis#

Étapes#

1. Copiez la ressource. Placez le dossier dans resources/ et nommez-le exactement yourac.
2. Ajoutez-la au server.cfg, après screenshot-basic :
   cfgCopier

   ensure screenshot-basic
   ensure yourac

3. Donnez les permissions au staff (détails dans Permissions) :
   cfgCopier

   add_ace group.admin      yourac.anticheat         allow
   add_ace group.superadmin yourac.anticheat.founder allow
   add_ace group.admin      yourac.anticheat.bypass  allow   # jamais analysé ni sanctionné

4. Redémarrez le serveur, puis ouvrez le panel en jeu avec /acpanel. Consultez l'audit de sécurité affiché dans la console.

Réglages généraux

Tout se règle dans config.lua (et config_server.lua pour les secrets). La plupart des réglages se modifient aussi en direct depuis le panel.

Options#

Mode de sécurité#

C.SecurityMode = 'normal'   -- normal | strict | competitive | maintenance | debug

Où se règle quoi#

Permissions

Deux niveaux d'accès : le staff utilise le panel au quotidien, les fondateurs gardent la main sur les actions sensibles.

Staff et fondateurs#

Dans server.cfg :

add_ace group.admin      yourac.anticheat         allow
add_ace group.superadmin yourac.anticheat.founder allow
add_ace group.admin      yourac.anticheat.bypass  allow   # jamais analysé ni sanctionné

Options#

Utiliser les grades de votre core#

Si votre serveur a un core qui gère les grades, renseignez C.CoreResource. L'anti-cheat utilisera alors ses exports, s'ils existent :

• HasPermission, CanBypass, GetPlayerPermissionGroups et HasPermissionGroup pour les droits et les grades ;
• ShowNotification pour les notifications.

Le grade fondateur du core donne aussi le niveau fondateur.

Protection du panel#

C.PanelGuard : chaque action du panel est vérifiée côté serveur.

Whitelist et développeurs

Protégez votre staff des faux positifs, et testez l'anti-cheat sur vous-même sans risque.

Options#

Rôles whitelistés#

Chaque rôle de C.WhitelistPermissions est reconnu de quatre façons. Il suffit qu'une seule corresponde :

Discord

Alertes et captures sur un salon Discord, avatars des joueurs dans le panel et whitelist par rôle Discord.

Configuration#

Dans config.lua :

C.Discord = {
    Enabled = true,
    BotName = 'YourAC',
}

Dans config_server.lua (secrets) :

C.Discord.Webhook  = ''   -- URL du webhook (alertes + captures)
C.Discord.BotToken = ''   -- facultatif : avatars Discord dans le panel, rôles whitelistés
C.Discord.GuildId  = ''   -- facultatif : ID de votre serveur Discord (rôles)

Champs#

Détections

52 détections, chacune avec un réglage enabled et une action. Tout se règle aussi dans le panel, onglet Détections : activation, action et seuils.

Sécurité intégrée#

Les détections dites heuristiques ne peuvent jamais bannir automatiquement, même réglées sur ban. Elles restent plafonnées au kick, parce qu'un lag ou un script légitime peut les déclencher :

noclip teleport speedHack vehicleSpeedHack godMode healthHack aimLock aimbotHeadshot silentAim superJump invisibility vehicleFly invincibleFlag freecam deadShooter screenshotBlocked entitySpam resourceStop

Serveur : fiables, impossibles à contourner#

Explosions#

Client : intégrité#

Client : comportement (heuristiques)#

Score de risque

Avec C.Risk, chaque détection ajoute des points au joueur. Quand un palier est franchi, la sanction correspondante peut s'appliquer. Le score redescend tout seul quand le joueur se comporte normalement.

La sanction finale est la plus sévère entre l'action de la détection et celle du palier atteint.

Options#

Bans, ban matériel et anti-évasion

À chaque ban, l'anti-cheat enregistre tous les identifiants du joueur (license, Discord, Steam, FiveM…), ses tokens matériels FiveM et l'empreinte de son appareil. Pour revenir, le joueur devrait tout changer en même temps.

Options#

Empreinte d'appareil#

Un identifiant est caché sur le PC du joueur. Si un banni revient sur le même PC avec un autre compte, il est éjecté dès son arrivée en jeu, et ses nouveaux identifiants sont ajoutés à son ban.

Mémoire des identités#

Les identités des joueurs sont gardées 90 jours dans identities.json. Un ban par identifiant depuis le panel, même sur un joueur hors ligne, bannit donc aussi ses tokens et son appareil.

Audit de sécurité du serveur

Au démarrage, l'anti-cheat vérifie les réglages de sécurité de FiveM dans votre server.cfg. Le résultat s'affiche dans la console et dans le panel (onglet Paramètres), avec la ligne à ajouter pour chaque réglage manquant.

Réglages vérifiés#

# server.cfg : configuration recommandée
set onesync on
set sv_entityLockdown strict
set sv_filterRequestControl 2
set sv_enableNetworkedPhoneExplosions false
set sv_enableNetworkedSounds false
sv_pureLevel 1
set sv_scriptHookAllowed 0

Heartbeat et validation serveur

Le heartbeat vérifie que l'anti-cheat tourne toujours chez le joueur ; la validation serveur lit l'état du joueur directement côté serveur.

Heartbeat#

C.Heartbeat : le serveur envoie un défi au client à intervalle régulier, et le client doit y répondre. S'il ne répond plus, la détection resourceStop se déclenche. Les délais de grâce sont larges pour ne jamais sanctionner un joueur dont le chargement est lent.

Validation serveur#

C.ServerValidation : ces vérifications lisent l'état du joueur côté serveur, toutes les interval ms.

Listes noires

Toutes les listes se modifient en direct dans le panel, onglet Listes.

Filtre /me et /do

C.ChatFilter modère le contenu des commandes RP /me et /do.

• La détection se fait par mot entier et ignore la casse, les accents et le « leet speak » : B1TE est détecté, mais pas habite.
• La sanction se règle avec la détection inappropriateChat.

Options#

Vos autres scripts de chat peuvent utiliser le même filtre avec l'export serveur CheckMessage : voir Exports.

Panel, commandes et exports

Le panel s'ouvre en jeu avec /acpanel, ou une touche à choisir dans Paramètres › Raccourcis clavier › FiveM. Il est aussi accessible depuis un navigateur : voir Panel web.

Onglets du panel#

Commandes#

Exports#

-- client
exports['yourac']:OpenPanel()      -- ouvre le panel (false si accès refusé)
exports['yourac']:ClosePanel()
exports['yourac']:IsPanelOpen()
exports['yourac']:IsFounder()

-- serveur
exports['yourac']:GetConnectionBan(src)              -- carte de ban si le joueur qui se connecte est banni, sinon nil
exports['yourac']:CheckMessage(src, text, channel)   -- passe un texte au filtre ; true = message à bloquer

Panel web

Le panel est aussi accessible depuis un navigateur, sans être en jeu. Même design, mêmes fonctions, connexion avec Discord. C'est votre serveur FiveM qui l'héberge : rien à installer ni à payer en plus.

Adresse#

https://<votre-serveur>.users.cfx.re/yourac/

L'adresse exacte s'affiche dans la console au démarrage. Vous pouvez aussi y accéder depuis la page Panel du site YourAC.

Mise en place (5 minutes)#

1. Créez une application Discord. Sur discord.com/developers/applications, cliquez sur New Application (par exemple « YourAC Panel »).
2. Copiez les identifiants. Dans OAuth2, copiez le Client ID et le Client Secret, puis collez-les dans config_server.lua.
3. Ajoutez l'URL de redirection. Dans OAuth2 → Redirects, ajoutez l'URL affichée dans la console au démarrage :
   urlCopier

   https://<votre-serveur>.users.cfx.re/yourac/auth/callback

4. Indiquez qui a le droit d'entrer (voir le tableau ci-dessous), puis redémarrez la ressource.

-- config_server.lua
C.WebPanel = {
    enabled        = true,
    ClientId       = '',     -- OAuth2 → Client ID
    ClientSecret   = '',     -- OAuth2 → Client Secret (SECRET)
    PublicUrl      = '',     -- vide = adresse cfx.re détectée automatiquement
    AllowedDiscord = { '123456789012345678' },   -- IDs Discord du staff
    AllowedRoles   = {},     -- ou des IDs de rôles Discord (nécessite BotToken + GuildId)
    FounderDiscord = { '123456789012345678' },   -- IDs Discord des fondateurs
    SessionHours   = 12,     -- durée d'une connexion
}

Qui peut entrer#

Sécurité#

• Chaque action passe par les mêmes contrôles que le panel en jeu : permissions, actions réservées aux fondateurs, limite de débit, journal admin (noté web:<pseudo>).
• La session est stockée dans un cookie protégé, et une connexion dure SessionHours heures.
• Les connexions refusées s'affichent dans la console.

Preuves : captures et live view

Chaque détection est accompagnée d'une capture d'écran, et le staff peut regarder l'écran d'un suspect à la demande. Aucun service externe n'est utilisé.

Captures automatiques#

C.ScreenRec : une capture d'écran du joueur est prise à chaque détection et conservée dans l'onglet Preuves du panel, même après un déban.

Live view#

C.LiveView : le staff peut voir l'écran d'un joueur à la demande, avec /acview <id> [nb] ou le bouton du panel. Les captures arrivent sur Discord et dans l'onglet Preuves.

Écran de bannissement

C.BanScreen règle ce que voit le joueur banni, au moment du ban et quand il essaie de se reconnecter. Tout est modifiable en direct dans le panel (onglet Écran de ban, avec aperçu).

Fichiers de données

Ces fichiers sont créés et mis à jour automatiquement, à la racine de la ressource.