Asegura el proxy y los backends
En una red, todos los jugadores deberían entrar por el proxy. Si el puerto de un servidor backend está abierto a internet, cualquiera puede entrar directamente, saltarse todo lo que comprueba el proxy y, si el backend usa el reenvío normal de BungeeCord sin BungeeGuard, entrar con cualquier nombre, incluido el de un admin.
- Haz que los servidores backend escuchen solo en 127.0.0.1 o en una red privada, o cierra sus puertos en el firewall para que solo el proxy pueda llegar a ellos.
- En Velocity con backends 1.13+ usa el reenvío moderno de datos del jugador (modern) y pon el mismo forwarding secret en la configuración de cada backend Paper. Para backends de 1.8 a 1.12 usa el modo de reenvío bungeeguard con el plugin BungeeGuard.
- En BungeeCord activa
ip_forwardy añade BungeeGuard, para que un backend solo acepte conexiones que lleven tu token. - Deja el online mode activado en el proxy, salvo que tengas un servidor sin licencia (modo offline) con un plugin de autenticación.
Mantén el servidor y los plugins al día
Las builds nuevas de Paper y Velocity corrigen exploits con regularidad, incluidos algunos que tumban el servidor con un solo paquete. Actualiza el software del servidor y el proxy, y quita los plugins que ya no uses: cada plugin es código que se ejecuta con acceso total.
Descarga los plugins solo de sus propias páginas: Hangar, Modrinth, SpigotMC o el GitHub del autor. Las copias filtradas de plugins de pago son una de las vías más habituales por las que acaba una puerta trasera en un servidor.
Permisos y op
No des op a nadie en un servidor público. Usa un plugin de permisos como LuckPerms y da a cada rol solo lo que necesita.
Ten cuidado con los permisos comodín como * o essentials.*. A menudo incluyen comandos que lanzan órdenes en la consola, dan objetos o cambian permisos, así que quien se haga con una cuenta de moderador obtiene casi el mismo poder que la consola.
Quita los permisos a una persona el mismo día que deja el equipo.
Protege las cuentas del staff
En un servidor con online mode, una cuenta del staff es una cuenta de Microsoft, así que asegúrate de que tu staff use ahí una contraseña fuerte y la verificación en dos pasos.
En un servidor sin licencia, la cuenta solo está protegida por la contraseña del plugin de autenticación. Las contraseñas del staff deberían ser largas y no usarse en ningún otro sitio, y la verificación en dos pasos debería estar activada si tu plugin de autenticación la admite. Más información en fuerza bruta de contraseñas.
Revisa de vez en cuando desde dónde entran las cuentas del staff. Si aparece una entrada desde un país o un proveedor nuevo, conviene preguntar.
Cierra lo que no uses
- RCON da acceso completo a la consola por la red. Deja
enable-rcon=falsesalvo que lo necesites y, si lo usas, pon una contraseña larga y permite solo tu propia dirección en el firewall. - Desactiva
enable-querysi no lo necesitas. - Los puertos del panel, de la base de datos y de SSH solo deberían estar abiertos a las direcciones que los necesitan.
Copias de seguridad
Guarda copias de los mundos y de los datos de los plugins fuera de la máquina del servidor, y comprueba de vez en cuando que puedes restaurarlas. Una copia en el mismo disco no sirve de nada cuando falla la máquina o alguien se hace con la cuenta del hosting.
DDoS, bots y VPN
Un ataque DDoS satura la red antes de que nada llegue a Minecraft, así que ningún plugin puede frenarlo; lo tiene que hacer tu hosting o un servicio de protección de red. Consulta qué puede y qué no puede hacer un plugin contra el DDoS.
Los ataques de bots, los usuarios con VPN y la evasión de baneos llegan como entradas reales, y se frenan en el proxy: con comprobaciones de direcciones como Kordon y, para los bots desde direcciones limpias, con un plugin de verificación como Sonar. Lee cómo bloquear VPN y la comparación de plugins antibots.
Lista de comprobación
- Backends accesibles solo desde el proxy, reenvío de IP con forwarding secret o BungeeGuard.
- Servidor, proxy y plugins actualizados, plugins sin usar eliminados, nada de fuentes filtradas.
- Nadie con op en un servidor público, roles solo con los permisos que necesitan.
- Cuentas del staff con contraseñas fuertes y únicas y verificación en dos pasos.
- RCON y query desactivados o limitados a tu dirección.
- Copias de seguridad fuera de la máquina, restauración probada.
- Protección DDoS del hosting, protección contra bots y VPN en el proxy.