# 非正規版Minecraftサーバーの保護：ボット、なりすましのプレイヤー名、BAN回避

非正規版サーバー、つまりオフラインモードのサーバーでは、Mojangがアカウントを確認せず、サーバーはクライアントが送ってきたプレイヤー名をそのまま信用します。これがボットやルール違反者の入り口になるため、オーナーが自分で塞がなければなりません。

更新日: 2026-10-27

## 要点

- オフラインモードでは誰でもどんなプレイヤー名でも参加できるため、パスワード付きの認証プラグインは必須です。
- 非正規版サーバーのボットはアカウントを購入する必要がないため、こうしたサーバーへの攻撃は安上がりです。
- プレイヤー名のBANは新しいプレイヤー名で、IPのBANはVPNで回避されます。
- KordonはVPN、プロキシ、ボットの大量接続を防ぎ、プレイヤー名を制限します。パスワードは認証プラグインの役割です。
- スタッフをプレイヤー名だけでホワイトリストに入れないでください。非正規版サーバーでは誰でもそのプレイヤー名を使えます。

## オフラインモードのサーバーのリスク

- どのプレイヤーも管理者のプレイヤー名を使え、認証プラグインがパスワードを求めるまで、サーバーはそれを信じてしまいます。
- ボットに正規版アカウントは不要なので、攻撃者にとってボット1,000体のコストは1体と変わりません。
- BANされても、新しいプレイヤー名は無料で作れます。
- スペースやほかの文字体系の似た文字を使えば、他人のプレイヤー名になりすませます。

## 認証プラグインは必須

AuthMeやnLoginなどの認証プラグインは、プレイヤーに登録させ、接続のたびにパスワードを入力させます。これがないと、非正規版サーバーは管理者のプレイヤー名を知っている人なら誰でも入れる状態になります。こうしたプラグインの多くは正規版アカウントの持ち主をパスワードなしで入室させる機能があり、プレイヤーに喜ばれています。

Kordonは認証プラグインの代わりにはなりません。パスワードを見ることもチェックすることもありません。パスワード自体の守り方は[パスワードの総当たり攻撃に関するガイド](https://kordonlabs.com/ja/guides/minecraft-password-brute-force)で説明しています。

## Kordonが防ぐもの

Kordonは、プレイヤーが認証プラグインにたどり着く前に、プロキシサーバーで接続をチェックします。

- VPN、プロキシ、ホスティングのネットワークは通さないため、BANされたプレイヤーが新しいプレイヤー名で戻ってくるのが難しくなります。
- Kordonはボットの大量接続を自動で検知し、サーバーを攻撃対応モードに切り替えます。
- プレイヤー名ルールで、テンプレートで作られたボットのプレイヤー名や、キリル文字・スペースを含むプレイヤー名を遮断します。「nLogin / AuthMeと同じ」パターンはこれらのプラグイン自体のルールと一致するので、プレイヤー名が合わないせいで登録できない、ということが起きません。ただし、このパターンではプレイヤー名がドットで始まるFloodgateのBedrockプレイヤーが入室できない点に注意してください。
- ブラックリストにはプレイヤー名、アドレス、範囲を登録できます。非正規版のプレイヤーのUUIDは大文字・小文字まで含めたプレイヤー名から作られるため、UUIDでのBANは`Steve`の代わりに`steve`で参加するだけで回避されます。Kordonは大文字と小文字を区別せずにプレイヤー名を比較するので、非正規版サーバーではプレイヤー名でBANするほうが確実です。

## ホワイトリストは慎重に

Kordonのホワイトリストに入っているプレイヤーは、VPNのチェックなしで入室できます。オンラインモードのサーバーではMojangがプレイヤー名を確認しますが、非正規版サーバーでは誰でもそのプレイヤー名を使えます。プレイヤー名によるホワイトリストの項目は、その名前で参加した人をチェックなしで入室させてしまいます。

そのため非正規版サーバーでは、スタッフをIPアドレスでホワイトリストに入れるほうが安全です。アドレスが変わる人でも、VPNを使っていなければホワイトリストに入れる必要はないかもしれません。一般回線のアドレスはいずれにしてもチェックを通ります。

## スペースや似た文字を含むプレイヤー名

オフラインモードのVelocityは、ほぼどんな文字でも、最大16文字までのプレイヤー名を受け付けます。サーバーにとって`Steve`と末尾にスペースのある`Steve `は別のアカウントですが、チャットやTabリストでは同じに見えます。英字の代わりにキリル文字の「а」「е」「о」を使った場合も同じです。

初期設定でオンになっている「Paperと同じ」ルールは英字、数字、`_`、ドットだけを許可するため、こうしたプレイヤー名は通りません。このルールはオフにしないでください。詳しくは[プレイヤー名フィルターのガイド](https://kordonlabs.com/ja/guides/minecraft-nickname-filter)をご覧ください。

## やることの順番

1. 認証プラグインを導入し、パスワードの最小文字数を設定します。
2. プロキシサーバーにKordonを導入し、1、2日ほど監視モードで様子を見ます。
3. プレイヤー名ルールは「Paperと同じ」のままにします。Bedrockプレイヤーがいなければ「nLogin / AuthMeと同じ」を選びます。
4. 保護レベル「バランス」で保護をオンにします。
5. スタッフはプレイヤー名ではなくIPでホワイトリストに入れます。
6. ルール違反者はプレイヤー名でBANします。VPNを塞いでいれば、すぐには戻ってこられません。

## 自分のサーバーで試す

監視モードで始めましょう。Kordonがブロックする相手を表示するので、準備ができたら保護をオンにできます。 [アカウントを作成](https://panel.kordonlabs.com/register)

## ほかのガイド

- [オフラインモードのMinecraftサーバーでのパスワード総当たり攻撃：アカウントを守る方法](https://kordonlabs.com/ja/guides/minecraft-password-brute-force): AuthMeやnLoginを使うサーバーで攻撃者がプレイヤーのパスワードを推測する手口、それを止める認証プラグインの設定、VPN・プロキシのブロックが役立つ理由を解説します。
- [Minecraftサーバーのプレイヤー名フィルター：ルールと正規表現](https://kordonlabs.com/ja/guides/minecraft-nickname-filter): Minecraftサーバーでプレイヤー名を正規表現で制限する方法：Paperと同じ初期ルール、ボットのプレイヤー名のブロック、すぐ使えるパターン、よくある間違い。
- [MinecraftサーバーでサブアカウントとBAN回避を防ぐ方法](https://kordonlabs.com/ja/guides/minecraft-alt-accounts-ban-evasion): BANされたプレイヤーが新しいアカウントで戻ってくる仕組み、IP BANだけでは防げない理由、VPNブロック、プレイヤー名・IPのブラックリスト、アカウント関連グラフで締め出す方法を解説します。