# Безпека сервера Minecraft: чекліст захисту на 2026 рік

Більшість зламів серверів Minecraft починається з простих речей, як-от відкритий порт бекенда, застарілий плагін або адміністратор, який використовує той самий пароль ще деінде. У цьому чеклісті типові слабкі місця зібрано в тому порядку, у якому ми перевіряли б їх самі.

Оновлено: 2026-11-06

## Коротко

- Закрийте сервери за проксі для всіх, крім самого проксі, і налаштуйте передавання IP.
- Оновлюйте Paper, Velocity і плагіни, а плагіни завантажуйте лише з їхніх справжніх сторінок.
- Давайте персоналу лише ті права, які йому потрібні, і захистіть його акаунти.
- Вимкніть RCON і query, якщо ними не користуєтеся, і зберігайте резервні копії поза сервером.
- DDoS зупиняє хостинг, а ботів, VPN і обхід банів зупиняє захист на проксі.

## Захистіть проксі й сервери за ним

У мережі кожен гравець має заходити через проксі. Якщо порт сервера за проксі (бекенда) доступний з інтернету, будь-хто може зайти на нього напряму й оминути все, що перевіряє проксі. А якщо бекенд використовує звичайне передавання BungeeCord без BungeeGuard, такий гравець ще й увійде під будь-яким ніком, зокрема під ніком адміністратора.

- Прив’яжіть бекенди до 127.0.0.1 або приватної мережі чи закрийте їхні порти у файрволі, щоб до них міг дістатися лише проксі.
- На Velocity з бекендами 1.13+ увімкніть сучасне передавання даних гравця (modern) і впишіть той самий секрет передавання в налаштування кожного бекенда Paper. Для бекендів від 1.8 до 1.12 використовуйте режим передавання bungeeguard разом із плагіном BungeeGuard.
- На BungeeCord увімкніть `ip_forward` і додайте BungeeGuard, тоді бекенд прийматиме лише підключення з вашим токеном.
- Не вимикайте online mode на проксі, якщо тільки у вас не піратський сервер із плагіном авторизації.

## Оновлюйте сервер і плагіни

Нові збірки Paper і Velocity регулярно закривають експлойти, зокрема такі, що кладуть сервер одним пакетом. Оновлюйте серверне програмне забезпечення й проксі та видаляйте плагіни, якими вже не користуєтеся: кожен плагін виконується з повним доступом.

Завантажуйте плагіни лише з їхніх власних сторінок: Hangar, Modrinth, SpigotMC або GitHub автора. Саме через злиті копії платних плагінів бекдор потрапляє на сервер чи не найчастіше.

## Права й op

Нікому не давайте op на публічному сервері. Користуйтеся плагіном прав, наприклад LuckPerms, і давайте кожній ролі лише те, що їй потрібно.

Обережно з правами із зірочкою на кшталт `*` чи `essentials.*`. Часто вони охоплюють команди, які виконують команди консолі, видають предмети або змінюють права, тож той, хто захопить акаунт модератора, отримає майже ті самі можливості, що й консоль.

Забирайте права в людини того самого дня, коли вона йде з команди.

## Захистіть акаунти персоналу

На сервері з online mode персонал заходить через акаунти Microsoft, тож подбайте, щоб там у кожного був надійний пароль і двоетапна перевірка.

На піратському сервері акаунт захищає лише пароль плагіна авторизації. Паролі персоналу мають бути довгими й ніде більше не використовуватися, а двофакторний вхід має бути ввімкнений, якщо ваш плагін авторизації його підтримує. Докладніше в статті [про перебір паролів](https://kordonlabs.com/uk/guides/minecraft-password-brute-force).

Час від часу дивіться, звідки заходять акаунти персоналу. Про вхід із нової країни чи від нового провайдера варто розпитати.

## Закрийте те, чим не користуєтеся

- RCON дає повний доступ до консолі через мережу. Залиште `enable-rcon=false`, якщо RCON вам не потрібен, а якщо потрібен, поставте довгий пароль і дозвольте у файрволі лише свою адресу.
- Вимкніть `enable-query`, якщо query вам не потрібен.
- Порти панелі, бази даних і SSH мають бути відкриті лише для тих адрес, яким вони потрібні.

## Резервні копії

Зберігайте резервні копії світів і даних плагінів поза машиною сервера й час від часу перевіряйте, що їх вдається відновити. Копія на тому самому диску не допоможе, коли машина вийде з ладу або хтось захопить акаунт хостингу.

## DDoS, боти й VPN

DDoS-атака засипає мережу трафіком ще до того, як щось дійде до Minecraft, тому жоден плагін її не зупинить. Це робота хостингу або сервісу мережевого захисту. Дивіться, [що плагін може і чого не може проти DDoS](https://kordonlabs.com/uk/guides/minecraft-ddos-protection).

Бот-атаки, гравці з VPN і обхід банів приходять як справжні входи, і зупиняють їх на проксі: перевіркою адрес, як-от Kordon, а ботів із чистих адрес плагіном перевірки на кшталт Sonar. Докладніше: [як заблокувати VPN](https://kordonlabs.com/uk/guides/block-vpn-minecraft-server) і [порівняння антибот-плагінів](https://kordonlabs.com/uk/guides/best-minecraft-antibot-plugins).

## Чекліст

1. Бекенди доступні лише з проксі, передавання IP із секретом або BungeeGuard.
2. Сервер, проксі й плагіни оновлені, непотрібні плагіни видалено, нічого зі злитих джерел.
3. Жодного op на публічному сервері, у ролей лише ті права, які їм потрібні.
4. Акаунти персоналу з надійними унікальними паролями й двоетапною перевіркою.
5. RCON і query вимкнені або доступні лише з вашої адреси.
6. Резервні копії поза машиною, відновлення перевірене.
7. Захист від DDoS у хостингу, захист від ботів і VPN на проксі.

## Спробуйте на своєму сервері

Почніть у режимі спостереження: Kordon покаже, кого б не пустив, а захист ви ввімкнете, коли будете готові. [Створити акаунт](https://panel.kordonlabs.com/register)

## Інші статті

- [DDoS-захист сервера Minecraft: що може плагін, а що ні](https://kordonlabs.com/uk/guides/minecraft-ddos-protection): Що таке DDoS-атака на сервер Minecraft, чому мережевий флуд не зупинить жоден плагін, звідки береться справжній захист і чим від DDoS відрізняються бот-атаки.
- [Як заблокувати VPN і проксі на Minecraft-сервері](https://kordonlabs.com/uk/guides/block-vpn-minecraft-server): Навіщо гравці заходять через VPN і проксі, які є способи їх блокувати і як крок за кроком підключити анти-VPN плагін Kordon на BungeeCord або Velocity.
- [Перебір паролів на піратському Minecraft-сервері: як захистити акаунти](https://kordonlabs.com/uk/guides/minecraft-password-brute-force): Як зловмисники підбирають паролі гравців на серверах з AuthMe і nLogin, які налаштування плагіна авторизації це зупиняють і як допоможе блокування VPN і проксі.