Protegendo contas de staff e o console

Muitas "invasões" de servidores de Minecraft não envolvem hackers sofisticados: alguém simplesmente conseguiu a conta de um membro da staff. Proteger essas contas é proteger o servidor.

Os pontos de acesso administrativos

1. Conta do painel — controle total: arquivos, console, backups;
2. Console — qualquer comando, sem restrições;
3. Contas Minecraft com OP ou permissões altas — poder dentro do jogo;
4. Canal de console do Discord (DiscordSRV, se ativado);
5. Banco de dados — dados de permissões, economia e punições.

Painel

• 2FA obrigatório para você e para todos os subusuários;
• Subusuários com permissões mínimas — moderadores normalmente não precisam do painel;
• Remova acessos imediatamente quando alguém sair da equipe;
• Revise o registro de atividades do painel periodicamente.

Contas Minecraft da staff

• Peça que a staff ative 2FA na conta Microsoft;
• Não use OP para a staff — use grupos do LuckPerms com apenas os comandos necessários;
• Separe cargos: ajudante, moderador, administrador;
• Comandos destrutivos (/co rollback global, /stop, /op, /lp) somente para administradores de confiança.

Autenticação extra para a staff

Plugins de autenticação de staff exigem que membros com permissões altas digitem um código (por exemplo, TOTP) ao entrar, antes de poderem usar comandos. Mesmo que a conta Minecraft seja comprometida, o invasor não consegue usar os poderes da staff.

Discord

• Canal de console restrito a administradores;
• Cargos com permissões mínimas;
• 2FA exigido para moderadores do servidor Discord (configuração do próprio Discord).

Registros e auditoria

• CoreProtect registra comandos e ações no mundo;
• Plugins de log de comandos ajudam a rastrear abusos;
• O LuckPerms registra mudanças de permissões (/lp log).

Se algo estranho acontecer, você consegue descobrir quem fez o quê.

Princípio do menor privilégio

Pergunte sempre: "essa pessoa precisa dessa permissão para fazer o trabalho dela?". Se não, não dê.

Em caso de conta comprometida

1. Remova imediatamente as permissões da conta afetada;
2. Troque senhas do painel e tokens associados;
3. Verifique os logs e desfaça danos com o CoreProtect ou backups;
4. Revise se foram instalados plugins suspeitos;
5. Só devolva o acesso depois que a conta estiver segura.

Crie seu servidor com o Minecraft-BR

No Minecraft-BR da VittHost, o painel Pterodactyl/Pelican oferece subusuários e registro de atividades para você controlar o acesso da equipe. Servidores no Brasil, proteção DDoS e planos para Java e Bedrock.