# Bezpieczeństwo serwera Minecraft: lista kontrolna na 2026 rok Większość włamań na serwery Minecraft zaczyna się od czegoś prostego: otwartego portu backendu, nieaktualnego pluginu albo admina, który użył tego samego hasła co gdzie indziej. Omawiamy tu typowe słabe punkty w kolejności, w jakiej sami byśmy je sprawdzali. Zaktualizowano: 2026-11-06 ## W skrócie - Zamknij serwery backendowe dla wszystkich poza proxy i skonfiguruj przekazywanie IP. - Aktualizuj Paper, Velocity i pluginy, a pluginy pobieraj tylko z ich prawdziwych stron. - Dawaj administracji tylko potrzebne uprawnienia i chroń jej konta. - Wyłącz RCON i query, jeśli z nich nie korzystasz, i trzymaj kopie zapasowe poza serwerem. - DDoS zatrzymuje twój hosting; boty, VPN i omijanie banów zatrzymuje ochrona na proxy. ## Zabezpiecz proxy i backendy W sieci każdy gracz powinien wchodzić przez proxy. Jeśli port serwera backendowego jest otwarty na internet, każdy może wejść na niego bezpośrednio, ominąć wszystko, co sprawdza proxy, a jeśli backend używa zwykłego przekazywania BungeeCord bez BungeeGuard, zalogować się pod dowolnym nickiem, także admina. - Ustaw serwerom backendowym nasłuch na 127.0.0.1 lub w sieci prywatnej albo zamknij ich porty w zaporze, żeby dostęp miało tylko proxy. - Na Velocity z backendami 1.13+ używaj trybu przekazywania danych gracza modern i wpisz ten sam forwarding secret do konfiguracji każdego backendu Paper. Dla backendów od 1.8 do 1.12 użyj trybu przekazywania bungeeguard z pluginem BungeeGuard. - Na BungeeCord włącz `ip_forward` i dodaj BungeeGuard, żeby backend przyjmował tylko połączenia z twoim tokenem. - Zostaw włączony online mode na proxy, chyba że prowadzisz serwer non-premium z pluginem do logowania. ## Aktualizuj serwer i pluginy Nowe buildy Paper i Velocity regularnie łatają exploity, w tym takie, które potrafią jednym pakietem położyć serwer. Aktualizuj oprogramowanie serwera i proxy oraz usuwaj pluginy, których już nie używasz: każdy plugin to kod działający z pełnym dostępem. Pobieraj pluginy tylko z ich własnych stron: Hangar, Modrinth, SpigotMC lub GitHub autora. Kopie płatnych pluginów z wycieków to jedna z najczęstszych dróg, którymi na serwer trafia backdoor. ## Uprawnienia i op Na serwerze publicznym nie dawaj nikomu opa. Używaj pluginu do uprawnień, na przykład LuckPerms, i dawaj każdej roli tylko to, czego potrzebuje. Uważaj na uprawnienia z gwiazdką, takie jak `*` czy `essentials.*`. Często obejmują komendy, które uruchamiają polecenia konsoli, dają przedmioty albo zmieniają uprawnienia, więc każdy, kto przejmie konto moderatora, ma prawie takie same możliwości jak konsola. Odbieraj uprawnienia tego samego dnia, w którym ktoś odchodzi z zespołu. ## Chroń konta administracji Na serwerze w trybie online konto członka administracji to konto Microsoft, więc dopilnuj, żeby administracja miała tam silne hasło i weryfikację dwuetapową. Na serwerze non-premium konto chroni tylko hasło z pluginu do logowania. Hasła administracji powinny być długie i nieużywane nigdzie indziej, a logowanie dwuskładnikowe powinno być włączone, jeśli twój plugin je obsługuje. Więcej w poradniku o [łamaniu haseł metodą brute force](https://kordonlabs.com/pl/guides/minecraft-password-brute-force). Co jakiś czas sprawdzaj, skąd logują się konta administracji. Wejście z nowego kraju lub od nowego dostawcy warto wyjaśnić. ## Zamknij to, czego nie używasz - RCON daje pełny dostęp do konsoli przez sieć. Zostaw `enable-rcon=false`, chyba że go potrzebujesz, a jeśli tak, użyj długiego hasła i wpuść w zaporze tylko swój adres. - Wyłącz `enable-query`, jeśli go nie potrzebujesz. - Porty panelu, bazy danych i SSH powinny być otwarte tylko dla adresów, które ich potrzebują. ## Kopie zapasowe Trzymaj kopie zapasowe światów i danych pluginów poza maszyną serwera i co jakiś czas sprawdzaj, czy da się je przywrócić. Kopia na tym samym dysku nie pomoże, gdy maszyna padnie albo ktoś przejmie konto u dostawcy hostingu. ## DDoS, boty i VPN Atak DDoS zalewa sieć, zanim cokolwiek dotrze do Minecrafta, więc żaden plugin go nie zatrzyma; musi to zrobić twój hosting albo usługa ochrony sieci. Zobacz, [co plugin może, a czego nie może zrobić przeciw DDoS](https://kordonlabs.com/pl/guides/minecraft-ddos-protection). Ataki botów, użytkownicy VPN i omijanie banów przychodzą jako prawdziwe wejścia i zatrzymuje się je na proxy: sprawdzaniem adresów, takim jak Kordon, a w przypadku botów z czystych adresów pluginem weryfikującym, takim jak Sonar. Przeczytaj, [jak zablokować VPN](https://kordonlabs.com/pl/guides/block-vpn-minecraft-server), i zajrzyj do [porównania pluginów antybot](https://kordonlabs.com/pl/guides/best-minecraft-antibot-plugins). ## Lista kontrolna 1. Backendy dostępne tylko z proxy, przekazywanie IP z sekretem lub BungeeGuard. 2. Serwer, proxy i pluginy zaktualizowane, nieużywane pluginy usunięte, nic z wycieków. 3. Brak opa na serwerze publicznym, role tylko z potrzebnymi uprawnieniami. 4. Konta administracji z silnymi, unikalnymi hasłami i weryfikacją dwuetapową. 5. RCON i query wyłączone lub ograniczone do twojego adresu. 6. Kopie zapasowe poza maszyną, przywracanie przetestowane. 7. Ochrona przed DDoS od hostingu, ochrona przed botami i VPN na proxy. ## Wypróbuj na swoim serwerze Zacznij w trybie obserwacji: Kordon pokaże, kogo by nie wpuścił, a ochronę włączysz wtedy, gdy zechcesz. [Załóż konto](https://panel.kordonlabs.com/register) ## Więcej poradników - [Ochrona przed DDoS w Minecraft: co plugin może, a czego nie](https://kordonlabs.com/pl/guides/minecraft-ddos-protection): Czym jest atak DDoS na serwer Minecraft, dlaczego żaden plugin nie zatrzyma zalewu ruchu, skąd naprawdę bierze się ochrona przed DDoS i czym różni się atak botów. - [Jak zablokować VPN i proxy na serwerze Minecraft](https://kordonlabs.com/pl/guides/block-vpn-minecraft-server): Dlaczego gracze wchodzą przez VPN i proxy, jakie są sposoby ich blokowania i jak krok po kroku skonfigurować plugin Kordon AntiVPN na BungeeCord lub Velocity. - [Łamanie haseł na serwerze Minecraft non-premium: jak chronić konta](https://kordonlabs.com/pl/guides/minecraft-password-brute-force): Jak atakujący zgadują hasła graczy na serwerach z AuthMe lub nLogin, które ustawienia pluginu logowania to zatrzymują i jak pomaga blokowanie VPN i proxy.