# Безопасность сервера Minecraft: чеклист на 2026 год

Большинство взломов Minecraft-серверов начинается с чего-то простого, например с открытого порта бэкенда, устаревшего плагина или админа, который использовал тот же пароль где-то ещё. В этом чеклисте мы пройдём по типичным слабым местам в том порядке, в каком проверяли бы их сами.

Обновлено: 2026-11-06

## Коротко

- Закройте бэкенд-серверы для всех, кроме прокси, и настройте IP forwarding.
- Обновляйте Paper, Velocity и плагины, а плагины скачивайте только с их настоящих страниц.
- Давайте персоналу только те права, которые ему нужны, и защитите его аккаунты.
- Выключите RCON и query, если ими не пользуетесь, и храните бэкапы не на самом сервере.
- От DDoS защищает хостинг, а от ботов, VPN и обхода банов защита на прокси.

## Защитите прокси и бэкенды

В сети каждый игрок должен заходить через прокси. Если порт бэкенд-сервера открыт в интернет, любой может зайти на него напрямую, мимо всех проверок прокси, а если бэкенд использует обычную передачу данных BungeeCord без BungeeGuard, ещё и под любым ником, в том числе под ником админа.

- Привяжите бэкенд-серверы к 127.0.0.1 или к частной сети либо закройте их порты в файрволе, чтобы до них мог достучаться только прокси.
- На Velocity с бэкендами 1.13+ используйте modern player info forwarding и пропишите тот же forwarding secret в конфиге каждого бэкенда на Paper. Для бэкендов 1.8–1.12 выберите режим передачи bungeeguard и поставьте плагин BungeeGuard.
- На BungeeCord включите `ip_forward` и поставьте BungeeGuard, чтобы бэкенд принимал только подключения с вашим токеном.
- Оставьте online mode на прокси включённым, если только у вас не пиратский сервер с плагином авторизации.

## Обновляйте сервер и плагины

Новые сборки Paper и Velocity регулярно закрывают эксплойты, в том числе такие, которые роняют сервер одним пакетом. Обновляйте серверное ПО и прокси и удаляйте плагины, которыми больше не пользуетесь: любой плагин запускает свой код с полным доступом.

Скачивайте плагины только с их собственных страниц: Hangar, Modrinth, SpigotMC или GitHub автора. Бэкдоры часто попадают на сервер именно через слитые копии платных плагинов.

## Права и op

Не давайте op никому на публичном сервере. Поставьте плагин прав, например LuckPerms, и давайте каждой роли только то, что ей нужно.

Осторожнее с правами-масками вроде `*` или `essentials.*`. В них часто входят команды, которые выполняют команды консоли, выдают предметы или меняют права, так что тот, кто захватит аккаунт модератора, получит почти те же возможности, что и консоль.

Забирайте права у человека в тот же день, когда он уходит из команды.

## Защитите аккаунты персонала

На сервере с online mode аккаунт персонала и есть аккаунт Microsoft, поэтому проследите, чтобы у персонала там были надёжный пароль и двухэтапная проверка.

На пиратском сервере аккаунт защищён только паролем плагина авторизации. Пароли персонала должны быть длинными и больше нигде не использоваться, а двухфакторный вход должен быть включён, если ваш плагин авторизации его поддерживает. Подробнее в статье [о переборе паролей](https://kordonlabs.com/ru/guides/minecraft-password-brute-force).

Время от времени смотрите, откуда заходят аккаунты персонала. Вход из новой страны или от нового провайдера даёт повод задать вопрос.

## Закройте то, чем не пользуетесь

- RCON даёт полный доступ к консоли по сети. Оставьте `enable-rcon=false`, если он вам не нужен, а если нужен, поставьте длинный пароль и разрешите в файрволе только свой адрес.
- Выключите `enable-query`, если он вам не нужен.
- Порты панели, базы данных и SSH должны быть открыты только для тех адресов, которым они нужны.

## Бэкапы

Храните бэкапы миров и данных плагинов вне машины, на которой стоит сервер, и время от времени проверяйте, что их можно восстановить. Бэкап на том же диске не поможет, если машина выйдет из строя или кто-то захватит аккаунт хостинга.

## DDoS, боты и VPN

DDoS-атака заливает сеть трафиком ещё до того, как что-либо дойдёт до Minecraft, поэтому никакой плагин её не остановит. Это задача хостинга или сервиса защиты сети. Подробнее в статье о том, [что может плагин против DDoS и чего не может](https://kordonlabs.com/ru/guides/minecraft-ddos-protection).

Бот-атаки, игроки с VPN и обход банов приходят как настоящие входы, и останавливают их на прокси: проверкой адресов, например Kordon, а ботов с чистых адресов плагином проверки, например Sonar. Читайте также: [как заблокировать VPN](https://kordonlabs.com/ru/guides/block-vpn-minecraft-server) и [сравнение антибот-плагинов](https://kordonlabs.com/ru/guides/best-minecraft-antibot-plugins).

## Чеклист

1. Бэкенды доступны только с прокси, IP forwarding с секретом или BungeeGuard.
2. Сервер, прокси и плагины обновлены, лишние плагины удалены, ничего из слитых источников.
3. На публичном сервере ни у кого нет op, у ролей только те права, которые им нужны.
4. У аккаунтов персонала надёжные уникальные пароли и двухэтапная проверка.
5. RCON и query выключены или открыты только для вашего адреса.
6. Бэкапы хранятся вне машины, восстановление проверено.
7. От DDoS защищает хостинг, от ботов и VPN защита на прокси.

## Попробуйте на своём сервере

Начните в режиме наблюдения: Kordon покажет, кого бы не пустил, а защиту вы включите, когда будете готовы. [Создать аккаунт](https://panel.kordonlabs.com/register)

## Другие статьи

- [Защита от DDoS для Minecraft: что может плагин и чего не может](https://kordonlabs.com/ru/guides/minecraft-ddos-protection): Что такое DDoS-атака на сервер Minecraft, почему ни один плагин не остановит сетевой флуд, откуда берётся защита от DDoS и чем от неё отличаются бот-атаки.
- [Как заблокировать VPN и прокси на Minecraft-сервере](https://kordonlabs.com/ru/guides/block-vpn-minecraft-server): Зачем игроки заходят через VPN и прокси, какие есть способы их блокировать и как по шагам подключить анти-VPN плагин Kordon на BungeeCord или Velocity.
- [Перебор паролей на пиратском Minecraft-сервере: как защитить аккаунты](https://kordonlabs.com/ru/guides/minecraft-password-brute-force): Как злоумышленники подбирают пароли игроков на серверах с AuthMe и nLogin, какие настройки плагина авторизации это останавливают и чем поможет блокировка VPN и прокси.