Le gardien invisible – et des bannissements qui s'expliquent enfin 👁️

Il y a quelque temps, nous avons parlé ici d'un jeu pensé pour les enfants dès le départ – signalements, retours et un œil vigilant. Pour être honnêtes, l'œil vigilant était le point faible de l'ensemble : nous pouvions recevoir des signalements, mais nous ne pouvions presque pas aller voir ce qui se passait vraiment dans un monde. C'est justement là-dessus que nous avons travaillé – avec deux briques : un mode observateur pour la supervision, et un système de bannissement entièrement repensé, qui explique enfin aux joueurs concernés ce qui se passe.

Le mode observateur. Quand un signalement arrive (« quelqu'un construit n'importe quoi », « quelqu'un écrit des méchancetés »), nous pouvons désormais entrer dans le monde concerné sans le déranger. Et vraiment invisibles – pas façon « s'il te plaît, ne m'affiche pas », une consigne qu'un jeu modifié pourrait tout simplement ignorer. Le serveur garde l'observateur entièrement pour lui : pas d'avatar, pas de vaisseau garé, pas de pad d'atterrissage occupé, pas d'animation d'atterrissage, pas d'animaux de compagnie, pas de speeder, pas de place de joueur occupée et aucun changement du nombre de joueurs. Pour tous ceux qui sont dans ce monde, il n'y a littéralement personne. En vol, on traverse les murs (sinon, impossible d'entrer dans une base entièrement murée), les créatures ignorent l'observateur, et de toute façon, il ne peut pas tirer.

Observer, c'est observer. L'observateur n'a le droit de toucher à rien dans le monde – à une seule exception près : il peut miner des blocs. C'est le seul moyen de faire vraiment disparaître une construction choquante, et chaque bloc retiré est consigné dans un journal. Dans le chat, l'observateur est muet ; pour se montrer volontairement, il faut une commande à part. Et un badge SPECTATOR reste affiché en permanence à l'écran – on ne doit jamais croire par erreur qu'on est en train de jouer normalement.

Pourquoi c'est construit de façon aussi stricte. Deux décisions invisibles de l'extérieur, mais importantes pour nous. D'abord : le rôle d'observateur n'est pas enregistré dans la sauvegarde, il est recalculé à partir de la configuration du serveur à chaque connexion. Les sauvegardes peuvent être téléchargées puis remises en ligne ailleurs – un rôle de surveillant enregistré voyagerait avec elles, jusque sur des machines qui ne nous appartiennent pas. Ensuite : ce n'est pas une option du monde. Le propriétaire d'un monde ne doit pas pouvoir couper la supervision de son propre monde. C'est aussi pour cela qu'elle ne dépend pas du réglage « triches d'admin », que les mondes laissent de toute façon désactivé par défaut.

D'abord, trouver où il se passe quelque chose. Pour cela, il y a de nouvelles commandes : /players montre qui est en ligne – et tous ceux qui ont déjà joué dans ce monde ; /builds montre où quelqu'un a construit ; /where mène jusqu'à un joueur ; /goto saute aussi d'une planète à l'autre (l'ancienne téléportation se contentait de changer les coordonnées, et on se retrouvait sur la mauvaise planète 🙈). En plus, une page de synthèse dans notre interface d'administration lit directement la sauvegarde du monde : joueurs, constructions et « points chauds de construction » – c'est comme ça qu'on retrouve une maison que quelqu'un a posée au milieu de nulle part, sans noyau de base. Et chaque cellule modifiée retient désormais qui l'a touchée en dernier, et quand. Avant de l'intégrer, nous avons mesuré ce que ça coûte en stockage : pas une seule ligne de plus dans la base de données, puisque tout est de toute façon enregistré cellule par cellule.

Dans les mondes privés aussi – avec une double serrure. Les premières versions avaient une faille absurde : l'observateur invisible ne pouvait entrer que dans les mondes publics, sans mot de passe – justement ceux où il se passe le moins de choses. Or les enfants jouent presque toujours dans des mondes privés, dont le mot de passe circule dans un cercle d'amis. La supervision y a donc désormais accès, elle aussi. Pour que ça ne devienne pas une porte dérobée, l'accès est verrouillé deux fois : il faut un compte d'opérateur, qui ne peut être créé qu'avec un code secret – et le nom de joueur prévu pour cela, réservé dans tout le système, que personne d'autre ne peut enregistrer ni utiliser pour jouer. S'il manque l'un des deux, il ne se passe rien du tout.

Et puis, les bannissements. Jusqu'ici, c'était franchement mal fait : un compte banni pouvait se connecter tout à fait normalement, et le mur n'apparaissait qu'au moment de rejoindre un monde – sans raison, sans date et sans moyen de demander pourquoi. Du point de vue du joueur, le jeu était tout simplement cassé. Désormais, la connexion elle-même indique où en sont les choses, et il y a une boîte de réception : « Ton monde a été supprimé (raison) », « Ton blocage a été levé ». Ce message est écrit au moment même où quelque chose se passe – plus tard, l'information n'existe plus : un monde supprimé, eh bien… a disparu.

Une pause plutôt qu'un exil. Les bannissements sont désormais avant tout temporaires – trois jours par défaut. Une pause expirée compte comme « pas banni » à chaque point de contrôle, pour que « trois jours de pause » ne se transforme jamais en douce en exclusion définitive. L'entrée reste tout de même dans l'historique. Les raisons sont des catégories fixes (chat, destruction, triche, nom, autre), affichées traduites en allemand et en anglais – et si une personne ajoute un commentaire, il apparaît mot pour mot, exactement comme il a été tapé. Le plus important dans tout ça : le message peut indiquer le jour où l'on est de nouveau le bienvenu.

Les propriétaires de monde peuvent désormais modérer eux-mêmes. Si vous possédez un monde, vous avez le même levier pour votre monde : votre propre liste de bannis, appliquée aussi sûrement que la nôtre. Elle retient le compte (changer de nom ne sert donc à rien) et le nom en jeu (les invités de l'arcade n'ont pas de compte du tout). On choisit dans la liste des personnes qui sont vraiment venues dans le monde – taper des noms à la main, c'est exactement comme ça qu'on finit par bannir le mauvais enfant. Et comme un bannissement ne décide jamais que de la prochaine connexion, on peut aussi expulser : le joueur se retrouve aussitôt dans le menu, avec une raison, dans sa propre langue. Le message part avant que la connexion ne soit coupée – un jeu modifié ne peut donc pas simplement l'ignorer et continuer à jouer.

Ce que nous n'avons volontairement pas construit. Contre le contournement des bannissements, la solution évidente serait de reconnaître l'appareil (« nouveau compte, même PC »). Nous l'avons écartée, pour trois raisons : l'identifiant change dès qu'on branche une clé USB ou que Windows fait une grosse mise à jour ; un jeu modifié peut le falsifier en cinq minutes ; et des ordinateurs scolaires installés à l'identique se ressembleraient tous. S'y ajoute l'aspect juridique : en Allemagne, lire l'identifiant d'un appareil exige un consentement que les moins de 16 ans ne peuvent pas valablement donner. La supervision ne doit pas devenir de la surveillance. Et encore une règle inscrite dans le code : le compte d'opérateur lui-même ne peut être ni banni ni expulsé – sinon, on pourrait couper la supervision de l'intérieur.

Tout cela est déjà dans le code et sera mis en ligne avec la prochaine mise à jour du serveur. Nous espérons sincèrement en avoir besoin le moins souvent possible. 🌟