# Guía de seguridad para servidores de Minecraft: lista de comprobación para 2026

La mayoría de las intrusiones en servidores de Minecraft empiezan por algo sencillo, como un puerto de backend abierto, un plugin desactualizado o un admin que reutilizó su contraseña. Esta lista repasa los puntos débiles habituales en el orden en que los revisaríamos nosotros.

Actualizado: 2026-11-06

## En resumen

- Cierra los servidores backend a todos menos al proxy y configura el reenvío de IP.
- Mantén Paper, Velocity y los plugins actualizados, y descarga los plugins solo de sus páginas oficiales.
- Da al staff solo los permisos que necesita y protege sus cuentas.
- Desactiva RCON y query si no los usas, y guarda las copias de seguridad fuera del servidor.
- El DDoS lo frena tu hosting; los bots, las VPN y la evasión de baneos, la protección en el proxy.

## Asegura el proxy y los backends

En una red, todos los jugadores deberían entrar por el proxy. Si el puerto de un servidor backend está abierto a internet, cualquiera puede entrar directamente, saltarse todo lo que comprueba el proxy y, si el backend usa el reenvío normal de BungeeCord sin BungeeGuard, entrar con cualquier nombre, incluido el de un admin.

- Haz que los servidores backend escuchen solo en 127.0.0.1 o en una red privada, o cierra sus puertos en el firewall para que solo el proxy pueda llegar a ellos.
- En Velocity con backends 1.13+ usa el reenvío moderno de datos del jugador (modern) y pon el mismo forwarding secret en la configuración de cada backend Paper. Para backends de 1.8 a 1.12 usa el modo de reenvío bungeeguard con el plugin BungeeGuard.
- En BungeeCord activa `ip_forward` y añade BungeeGuard, para que un backend solo acepte conexiones que lleven tu token.
- Deja el online mode activado en el proxy, salvo que tengas un servidor sin licencia (modo offline) con un plugin de autenticación.

## Mantén el servidor y los plugins al día

Las builds nuevas de Paper y Velocity corrigen exploits con regularidad, incluidos algunos que tumban el servidor con un solo paquete. Actualiza el software del servidor y el proxy, y quita los plugins que ya no uses: cada plugin es código que se ejecuta con acceso total.

Descarga los plugins solo de sus propias páginas: Hangar, Modrinth, SpigotMC o el GitHub del autor. Las copias filtradas de plugins de pago son una de las vías más habituales por las que acaba una puerta trasera en un servidor.

## Permisos y op

No des op a nadie en un servidor público. Usa un plugin de permisos como LuckPerms y da a cada rol solo lo que necesita.

Ten cuidado con los permisos comodín como `*` o `essentials.*`. A menudo incluyen comandos que lanzan órdenes en la consola, dan objetos o cambian permisos, así que quien se haga con una cuenta de moderador obtiene casi el mismo poder que la consola.

Quita los permisos a una persona el mismo día que deja el equipo.

## Protege las cuentas del staff

En un servidor con online mode, una cuenta del staff es una cuenta de Microsoft, así que asegúrate de que tu staff use ahí una contraseña fuerte y la verificación en dos pasos.

En un servidor sin licencia, la cuenta solo está protegida por la contraseña del plugin de autenticación. Las contraseñas del staff deberían ser largas y no usarse en ningún otro sitio, y la verificación en dos pasos debería estar activada si tu plugin de autenticación la admite. Más información en [fuerza bruta de contraseñas](https://kordonlabs.com/es/guides/minecraft-password-brute-force).

Revisa de vez en cuando desde dónde entran las cuentas del staff. Si aparece una entrada desde un país o un proveedor nuevo, conviene preguntar.

## Cierra lo que no uses

- RCON da acceso completo a la consola por la red. Deja `enable-rcon=false` salvo que lo necesites y, si lo usas, pon una contraseña larga y permite solo tu propia dirección en el firewall.
- Desactiva `enable-query` si no lo necesitas.
- Los puertos del panel, de la base de datos y de SSH solo deberían estar abiertos a las direcciones que los necesitan.

## Copias de seguridad

Guarda copias de los mundos y de los datos de los plugins fuera de la máquina del servidor, y comprueba de vez en cuando que puedes restaurarlas. Una copia en el mismo disco no sirve de nada cuando falla la máquina o alguien se hace con la cuenta del hosting.

## DDoS, bots y VPN

Un ataque DDoS satura la red antes de que nada llegue a Minecraft, así que ningún plugin puede frenarlo; lo tiene que hacer tu hosting o un servicio de protección de red. Consulta [qué puede y qué no puede hacer un plugin contra el DDoS](https://kordonlabs.com/es/guides/minecraft-ddos-protection).

Los ataques de bots, los usuarios con VPN y la evasión de baneos llegan como entradas reales, y se frenan en el proxy: con comprobaciones de direcciones como Kordon y, para los bots desde direcciones limpias, con un plugin de verificación como Sonar. Lee [cómo bloquear VPN](https://kordonlabs.com/es/guides/block-vpn-minecraft-server) y la [comparación de plugins antibots](https://kordonlabs.com/es/guides/best-minecraft-antibot-plugins).

## Lista de comprobación

1. Backends accesibles solo desde el proxy, reenvío de IP con forwarding secret o BungeeGuard.
2. Servidor, proxy y plugins actualizados, plugins sin usar eliminados, nada de fuentes filtradas.
3. Nadie con op en un servidor público, roles solo con los permisos que necesitan.
4. Cuentas del staff con contraseñas fuertes y únicas y verificación en dos pasos.
5. RCON y query desactivados o limitados a tu dirección.
6. Copias de seguridad fuera de la máquina, restauración probada.
7. Protección DDoS del hosting, protección contra bots y VPN en el proxy.

## Pruébalo en tu servidor

Empieza en modo observación: Kordon te muestra a quién dejaría fuera y tú activas la protección cuando estés listo. [Crear cuenta](https://panel.kordonlabs.com/register)

## Más guías

- [Protección DDoS para Minecraft: qué puede y qué no puede hacer un plugin](https://kordonlabs.com/es/guides/minecraft-ddos-protection): Qué es un ataque DDoS a un servidor de Minecraft, por qué ningún plugin frena una saturación de la red, de dónde viene la protección DDoS real y en qué se diferencian los ataques de bots.
- [Cómo bloquear VPN y proxies en un servidor de Minecraft](https://kordonlabs.com/es/guides/block-vpn-minecraft-server): Por qué los jugadores entran con VPN y proxies, qué formas hay de bloquearlos y cómo configurar paso a paso el plugin Kordon AntiVPN en BungeeCord o Velocity.
- [Fuerza bruta de contraseñas en un servidor no premium de Minecraft: cómo proteger las cuentas](https://kordonlabs.com/es/guides/minecraft-password-brute-force): Cómo adivinan los atacantes las contraseñas de los jugadores en servidores con AuthMe o nLogin, qué ajustes del plugin de autenticación lo frenan y cómo ayuda bloquear VPN y proxies.