La carte des bons endroits
| Source | Ce qu'on y trouve | Le réflexe |
|---|---|---|
| Forum Cfx.re, section Releases | Le cœur de l'écosystème, gratuit et payant | Lis le fil : les problèmes d'un script s'y étalent en public |
| GitHub | L'open source : frameworks, scripts communautaires | Regarde la date du dernier commit et les issues ouvertes |
| Boutiques Tebex des créateurs | Le payant sérieux, plateforme officielle de vente Cfx.re | Vérifie que la boutique est bien celle de l'auteur d'origine |
| Discord de revente ou de « partage » | Du volé, du copié, du piégé | On n'y va pas, et le chapitre suivant dit pourquoi |
Le leak : le piège qui coûte plus cher que le script
Le scénario classique : un script payant circule « gratuitement » sur un Discord de partage. La version qui circule n'est presque jamais la version d'origine : c'est la cachette favorite des portes dérobées, et sur FiveM une porte dérobée ne vole pas que ton serveur. Elle peut exécuter des commandes en ton nom, aspirer ta base de données joueurs, ou offrir l'administration à un inconnu.
Le calcul est simple : le script coûtait vingt euros, la fuite de ta base ou la perte de ton serveur coûte ta communauté. Un serveur RP vit de la confiance de ses joueurs ; c'est précisément ce qu'une porte dérobée dépense à ta place.
Fermé ne veut pas dire louche : lire les protections
Beaucoup de scripts payants sérieux sont livrés chiffrés via l'Asset Escrow, le système officiel de Cfx.re : le code est protégé, lié à ta clé, et c'est un fonctionnement normal du marché. À l'inverse, un script obfusqué artisanalement, hors escrow, illisible par principe, cumule les mauvais signes : tu ne peux ni l'auditer ni savoir ce qu'il fait de tes données.
- Escrow officiel : normal pour du payant. Tu n'audites pas le code, mais le canal est tracé et l'auteur identifiable.
- Open source : idéal. Toi ou n'importe qui pouvez lire ce que le script fait vraiment.
- Obfusqué hors escrow : pourquoi cacher ce que l'escrow protégerait mieux ? La question contient la réponse.
La routine avant chaque installation
- Vérifie la fraîcheur : un script sans mise à jour depuis des lustres cassera à la prochaine évolution du framework.
- Lis ce que les autres en disent : le fil du forum ou les issues GitHub sont le vrai service après-vente.
- Installe d'abord sur un serveur de brouillon : une recette txAdmin de test se monte en dix minutes et t'évite de déboguer devant tes joueurs.
- Mesure son coût dans l'onglet de surveillance avant et après : le guide du dimensionnement explique pourquoi ce réflexe change tout.
- Sauvegarde avant la mise en production, comme pour tout changement qui touche la base de données.
Questions fréquentes
- Les scripts gratuits sont-ils moins bons que les payants ?
- Non : les frameworks eux-mêmes (ESX, QBCore) sont gratuits et open source, et une partie du meilleur de l'écosystème l'est aussi. Le prix ne dit rien de la qualité ; la provenance et l'historique disent tout.
- Comment savoir si un script installé est piégé ?
- Après coup, c'est difficile, et c'est bien le problème : la vraie défense est en amont, par la provenance. Les signaux qui doivent inquiéter : des admins que tu n'as pas créés, des requêtes sortantes inexpliquées, un script obfusqué arrivé d'un canal de partage. Au moindre doute, coupe la ressource et change les secrets du serveur.
- Puis-je revendre ou partager un script acheté ?
- Non, et ce n'est pas qu'une question de licence : les canaux de revente sont exactement là où les versions piégées se fabriquent. En achetant chez l'auteur, tu finances la maintenance du script que ton serveur utilise tous les soirs.