# Fuerza bruta de contraseñas en un servidor no premium de Minecraft: cómo proteger las cuentas En un servidor con plugin de autenticación, una cuenta solo está protegida por su contraseña. Los nicks son fáciles de encontrar y, con intentos ilimitados, una contraseña se puede adivinar, sobre todo si es corta o común. Actualizado: 2026-10-27 ## En resumen - Los atacantes van sobre todo a por las contraseñas del staff y de los jugadores ricos: sus nicks se ven en la lista de jugadores y en las clasificaciones. - La protección principal está en el plugin de autenticación: un límite de intentos, la expulsión tras una contraseña incorrecta y un baneo temporal de la dirección. - Los límites por dirección se esquivan con proxies, así que bloquear los proxies frena mucho los intentos. - Kordon no comprueba contraseñas. Cierra el paso a las direcciones que facilitan los intentos: VPN, proxies y redes de hosting. - El staff necesita contraseñas largas y únicas y, si el plugin lo admite, verificación en dos pasos al iniciar sesión. ## Cómo se adivinan las contraseñas Un bot entra con el nick de otra persona y escribe `/login` con contraseñas de una lista: las más populares, variantes del nick y contraseñas de bases de datos filtradas de otros servidores. Muchos jugadores usan la misma contraseña en todas partes, así que una contraseña filtrada en un servidor a menudo funciona en otro. El plugin de autenticación banea una dirección después de unos cuantos fallos. Para saltarse ese bloqueo, el atacante envía cada intento desde una dirección nueva de una lista de proxies. ## Configura tu plugin de autenticación El plugin de autenticación hace la mayor parte del trabajo. En AuthMe, nLogin y plugins similares, busca estos ajustes: - un límite de intentos fallidos y la expulsión tras una contraseña incorrecta; - un baneo temporal de la dirección tras varios fallos seguidos; - un tiempo límite para iniciar sesión: quien no haya escrito la contraseña en un minuto es expulsado; - una longitud mínima de contraseña y la prohibición de las contraseñas más simples; - inicio de sesión automático para quienes tienen una cuenta con licencia, para que no necesiten contraseña; - verificación en dos pasos con una aplicación de autenticación, si el plugin lo admite. ## Protege a tu staff La cuenta de un administrador es la que más vale, así que es el primer objetivo. Las contraseñas del staff deben ser largas y no usarse en ningún otro sitio. Si el plugin admite la verificación en dos pasos, actívala al menos para el staff. De vez en cuando, comprueba desde dónde entran las cuentas del staff. Una entrada desde un país nuevo o un proveedor desconocido merece que la mires con más atención. ## Cierra el paso a los proxies Un límite de intentos por dirección solo funciona mientras el atacante tiene pocas direcciones. Kordon comprueba la conexión en el proxy del servidor, antes del plugin de autenticación. Las VPN, los proxies abiertos y las redes de hosting no pasan, y con el nivel de protección «Estricto» (desde el plan Premium) tampoco los proxies residenciales. Al atacante le quedan menos direcciones y los intentos se vuelven mucho más lentos. > Kordon no ve qué contraseña escribe un jugador ni cuenta los inicios de sesión fallidos. Eso es tarea del plugin de autenticación; Kordon solo deja al atacante menos direcciones que usar. ## Señales de fuerza bruta Los registros del plugin de autenticación muestran muchas contraseñas incorrectas para un mismo nick. El registro de entradas de Kordon (desde el plan Basic) muestra muchas entradas cortas con ese nick desde direcciones y países distintos. ## Si ya se han hecho con una cuenta 1. Cambia la contraseña de la cuenta con el comando de administración del plugin de autenticación y expulsa la cuenta del servidor. 2. Revisa los registros de acciones (CoreProtect, por ejemplo) para ver qué se hizo en nombre del jugador. 3. Añade a la lista negra las direcciones desde las que entró el intruso, con una duración (desde el plan Pro). 4. Pide al jugador que cambie esa contraseña en todos los sitios donde la haya usado. ## Pruébalo en tu servidor Empieza en modo observación: Kordon te muestra a quién dejaría fuera y tú activas la protección cuando estés listo. [Crear cuenta](https://panel.kordonlabs.com/register) ## Más guías - [Cómo proteger un servidor de Minecraft no premium: bots, nicks falsos y evasión de baneos](https://kordonlabs.com/es/guides/cracked-minecraft-server-protection): Qué riesgos tiene un servidor en modo offline, por qué sin un plugin de autenticación cualquiera entra como admin y cómo ayuda Kordon contra bots, VPN y evasión de baneos. - [Cómo proteger un servidor de Minecraft de los ataques de bots](https://kordonlabs.com/es/guides/minecraft-bot-attack-protection): Cómo es un ataque de bots a un servidor de Minecraft, por qué llega a través de proxies y cómo el modo ataque de Kordon cierra las redes de los bots mientras los jugadores reales siguen entrando. - [Filtro de nicks en un servidor de Minecraft: reglas y expresiones regulares](https://kordonlabs.com/es/guides/minecraft-nickname-filter): Cómo limitar los nicks de los jugadores en un servidor de Minecraft con regex: la regla de Paper por defecto, bloquear nicks de bots, patrones listos y errores habituales.