protege tu servidor

Si entró alguien a quien no invitaste, cualquiera que encuentre el servidor podría entrar. Primero protégelo y después revisa qué pasó mientras estaba abierto.

Protege el servidor

Abre la consola del servidor, en el panel de tu hosting o en la ventana donde se ejecuta el servidor. Si un jugador desconocido sigue conectado, expulsa y bloquea esa cuenta con ban PlayerName. En un servidor en modo offline puede volver con otro nombre, así que el paso de autenticación de abajo sigue siendo importante.

1. Activa la whitelist

Primero añade tu propia cuenta, luego activa la whitelist y después añade a todas las demás personas que deban tener acceso.

# server console
whitelist add YourJavaName
whitelist on
whitelist add FriendJavaName
whitelist list

Sustituye los ejemplos por el nombre de usuario de Java Edition de cada jugador. Los comandos escritos en la consola no llevan barra inicial. Para escribirlos dentro del juego necesitas permisos de operador y una barra inicial.

2. Revisa la autenticación de jugadores

Un servidor Java normal debe tener online-mode=true en server.properties. Así se verifica que los jugadores son dueños de los nombres que usan. Sin esto, alguien puede hacerse pasar por un jugador de tu whitelist.

Si el ajuste ya está en true, no lo cambies. Si está en false, haz una copia de seguridad de todo el servidor antes de cambiarlo. Cambiar el modo de autenticación cambia los datos de identidad de los jugadores, así que puede que haya que migrar o volver a añadir inventarios, entradas de la whitelist, permisos de operador y permisos de plugins.

No cambies este ajuste en un backend que esté detrás de Velocity o BungeeCord. Sigue la guía de proxy de tu hosting. El proxy debe autenticar a los jugadores y un firewall debe impedir que se conecten directamente al backend. El modern forwarding no sustituye a ese firewall. La guía de seguridad de Velocity de Paper explica cómo evitar que se pueda llegar directamente a un backend.

Si permites a propósito jugadores sin cuentas de Minecraft verificadas, usa un plugin de autenticación mantenido, deja la whitelist activada y sigue las instrucciones de tu plataforma para restringir el acceso directo por red.

La consola debería indicar ahora que la whitelist está activada y mostrar los nombres que añadiste. Si tienes otra cuenta de Java, también puedes comprobar que se rechaza una cuenta que no está en la lista.

Revisa qué pasó

Deja la whitelist activada mientras revisas el servidor. Si faltan bloques u objetos, detén el servidor antes de reparar nada y guarda una copia de todo su directorio, incluidos el mundo, la configuración y los logs. Si tu hosting tiene una herramienta de snapshots, puedes usarla en su lugar. Los logs pueden mostrar cuándo entró un jugador y qué nombre usó, y pueden registrar comandos o actividad de plugins. En modo offline, ese nombre no identifica a la persona que lo usó.

Si tienes una copia de seguridad limpia, restaura una de antes del daño. Revisa también ops.json en busca de operadores desconocidos y usa deop PlayerName para quitar alguno. Los servidores con plugins de permisos pueden guardar el acceso del staff en otro sitio, así que revisa también los usuarios y grupos de ese plugin.

Cómo se encontró el servidor

Tu servidor no tiene que estar publicitado para que lo encuentren. Cualquiera puede escanear las direcciones públicas de internet en busca de los puertos que usa Minecraft. Cómo es el escaneo de Lucky explica el tráfico de estado, de dónde viene y cómo identificarlo.

Nuestro bot entra como LuckySystems, publica el aviso y se desconecta. No rompe ni coloca bloques, no se lleva objetos ni ejecuta comandos.

No tienes que pagarnos, compartir una contraseña, dar permisos de operador, darnos acceso a una cuenta ni instalar nada.

Quien te pida esas cosas no es de Lucky. Si no sabes con seguridad si un mensaje vino de nosotros, escribe a contact@lucky.systems.