Recevez une alerte sur Telegram, par e-mail ou par webhook quand quelque chose de suspect se passe sur votre serveur Emby : attaques par mot de passe, connexions inhabituelles, scans.

Security Notifications informe l’administrateur de votre serveur Emby dès que quelque chose d’anormal ou touchant à la sécurité se produit : qui, d’où, pourquoi c’est suspect et quoi en faire.

Ce qu’il surveille

20 règles, chacune avec son interrupteur, son seuil et sa gravité :

Attaques contre les comptes : rafales de mots de passe erronés depuis une adresse, de nombreux comptes essayés depuis la même adresse (password spraying), une connexion réussie après de nombreux échecs, un compte verrouillé.
Connexions inhabituelles : un nouveau pays pour le compte ou le « voyage impossible » (deux lieux trop éloignés en trop peu de temps) ; un administrateur se connectant depuis un nouvel appareil, un nouveau réseau, depuis l’extérieur du réseau local ou à une heure inhabituelle ; des connexions depuis une sortie Tor ou un réseau réputé mauvais (Spamhaus DROP).
Modifications sensibles : un nouvel administrateur ou des droits sensibles accordés, un mot de passe modifié, un compte supprimé, une clé d’API créée ou supprimée, un plugin installé, mis à jour ou supprimé, des paramètres critiques modifiés (accès distant, HTTPS, proxies de confiance, ports, UPnP).
Dommages et abus : suppression massive dans une bibliothèque, un compte utilisé depuis trop d’endroits à la fois, une session active d’un compte désactivé.
Signes de compromission : scans et sondes (/.env, wp-login, traversée de chemin), en-têtes proxy falsifiés, utilisation de « Mot de passe oublié », les fichiers connus de l’attaque de mai 2023 contre les serveurs Emby ou des DLL qui apparaissent dans le dossier des plugins sans installation depuis le catalogue, une version de serveur avec des vulnérabilités publiées.

Notifications

Canaux : Telegram, e-mail (SMTP), webhook (Discord, Slack, ntfy, Gotify ou JSON simple) et le journal d’activité Emby. Chaque canal a sa gravité minimale et un bouton de test.
Pas de spam : la même alerte au plus une fois par intervalle, les rafales regroupées en un seul message, les heures de silence (seules les alertes critiques partent immédiatement, le reste arrive dans un résumé à la fin), un résumé quotidien facultatif.
Contenu : ce qui s’est passé, quel compte, d’où (adresse, pays, ville, réseau, appareil), pourquoi c’est suspect et quoi vérifier. Les noms envoyés par un attaquant (appareil, application, compte) sont transmis en texte brut.
Historique de toutes les alertes sur la page du plugin, avec des filtres et l’export CSV.

Prérequis

Emby Server 4.10.1 ou plus récent (Linux, Windows ou Docker).
Pour les alertes Telegram, e-mail ou webhook : un bot Telegram, un serveur SMTP ou une adresse de webhook. Le journal d’activité Emby fonctionne sans aucun d’eux.

Questions fréquentes

Emby peut-il m’avertir quand quelqu’un essaie de s’introduire dans mon serveur ? Oui, avec Security Notifications : des mots de passe erronés répétés, le password spraying, une connexion après de nombreux échecs, un nouveau pays ou un administrateur se connectant depuis un nouvel appareil vous envoient une alerte sur les canaux choisis. Voir le guide.

Est-ce la même chose qu’Access Log ? Non. Access Log conserve l’historique complet des connexions pour que vous puissiez le parcourir ; Security Notifications surveille les événements et modifications suspects et vous alerte immédiatement. Ils fonctionnent bien ensemble.

Ce qu’il envoie et où

Toutes les tâches en arrière-plan ne s’exécutent qu’avec une licence valide et le plugin activé.

Base de données de géolocalisation (téléchargement uniquement, rien n’est envoyé) : DB-IP Lite par défaut (download.db-ip.com, sans compte, CC BY 4.0 — « IP Geolocation by DB-IP », actualisée tous les ~35 jours) ; alternativement MaxMind GeoLite2 (download.maxmind.com, avec votre compte, tous les 7 jours) ou « désactivé ». La géolocalisation des IP a lieu localement ; les adresses IP ne sont jamais envoyées nulle part.
Listes de menaces (activées par défaut, téléchargement uniquement) : les nœuds de sortie Tor (check.torproject.org, toutes les heures) et Spamhaus DROP (www.spamhaus.org, quotidien). Peuvent être désactivées.
Canaux de notification — tous désactivés par défaut, choisis par l’administrateur :
- Telegram (api.telegram.org) : le texte de l’alerte vers votre chat, avec le jeton de votre bot ; le bouton « détecter les discussions » lit les mises à jour récentes du bot.
- Webhook (votre URL : Discord, Slack, ntfy, Gotify ou JSON générique) : texte de l’alerte, nom du serveur, gravité, heure.
- E-mail : via le SMTP du plugin Registration (s’il est installé) ou votre propre serveur SMTP (STARTTLS par défaut), vers les destinataires configurés.
- Le journal d’activité du serveur (local, activé par défaut).
Contenu de l’alerte : titre et détail, le compte concerné, l’adresse IP avec ville/pays/FAI (ASN), appareil et application, gravité, règle, nom du serveur, heure. Les noms saisis par un attaquant sont envoyés en texte brut (les mentions Discord sont désactivées).
Les pages ne chargent aucune ressource externe.
Plus le client de licence, identique dans chaque plugin : voir Licences et confidentialité dans nos plugins.

Stocké localement (dossier de données du plugin) :

state/alerts.json : historique des alertes (5000 maximum, configurable).
accounts.json : par compte — pays, réseaux (ASN), appareils vus (supprimés après 365 jours), dernière IP/pays/coordonnées ; les IP récentes sont supprimées après 24 h.
secrets.json (mode 600, en dehors de la configuration du serveur) : jeton Telegram, mot de passe SMTP, URL du webhook, clé MaxMind.
Listes Tor/Spamhaus, bases de données geoip/*.mmdb.
Le plugin vérifie si le fichier de réinitialisation du mot de passe du serveur existe, sans le lire ; il compare la version du serveur avec une table de vulnérabilités incluse (hors ligne).

Jamais envoyés : les mots de passe, les jetons de session, le contenu multimédia. Rien ne part vers un canal que vous n’avez pas activé.

Compatibilité avec les clients

Entièrement côté serveur : les alertes proviennent des événements et du journal du serveur, quelle que soit l’application utilisée par l’utilisateur ou l’attaquant.

Emby Web : ✅ page d’administration (ordinateur + téléphone 390 px) ; 39/39 de bout en bout avec de vrais événements Emby.
Livraison vérifiée : webhook JSON, e-mail (SMTP local), journal d’activité ✅ ; vrais Telegram, Discord, Slack, ntfy, Gotify : ❔ non testés (format Discord testé unitairement).
Applications Emby natives, Kodi, Infuse, etc. : 🟢 indépendant du client ; ❔ non testés individuellement.
Limites : Emby ne journalise que certaines requêtes, donc la détection de scans voit les 404 et les POST, pas chaque GET. Le SMTP sur le port 465 (TLS implicite) peut ne pas fonctionner — utilisez 587/STARTTLS (non vérifié).

Légende : ✅ vérifié (test de bout en bout ou sur appareil) · 🟢 côté serveur, fonctionne avec n’importe quel client (par conception, sans test spécifique au client) · ➖ sans objet · ❔ non testé.

Licence

Une licence par serveur Emby. Mensuelle, annuelle ou à vie, ou incluse dans le pack Emby. Essai gratuit de 30 jours.

Security Notifications pour Emby