Protegendo o RCON e as contas de administrador

Um invasor com acesso de admin pode banir jogadores, apagar propriedades, dar dinheiro infinito e destruir a reputação do servidor em minutos. As contas de staff merecem proteção extra.

RCON

• Senha longa e aleatória, guardada num gerenciador de senhas;
• Conhecida só pelo dono (e no máximo um sócio de confiança);
• Troca imediata se houver suspeita de vazamento;
• Monitoramento de OnRconLoginAttempt com bloqueio de IPs após falhas.

Alguns servidores vão além: bloqueiam o login RCON pelo jogo para quem não é de uma lista de contas autorizadas e usam só o console do painel.

Contas de administrador

Senha extra (admin login)

Além da senha da conta, a staff digita uma segunda senha para ativar os poderes (/adminlogin). Se a senha da conta vazar, o invasor ainda não tem os comandos.

Verificação de IP ou região

Alerte (ou bloqueie o modo admin) quando um admin loga de um IP muito diferente do habitual.

Verificação pelo Discord

Um bot que envia um código para o Discord do admin, confirmado no jogo. É uma forma de segundo fator sem depender de apps externos.

Permissões mínimas

Cada cargo com só os comandos que precisa. Comandos destrutivos (dar dinheiro, apagar propriedades) restritos aos níveis mais altos.

Logs e alertas

• Toda ação de admin registrada;
• Alertas em tempo real no Discord da gerência para ações sensíveis (ban permanente, dinheiro acima de X, alteração de nível de staff).

Fora do jogo

• Painel da hospedagem: senha forte, acesso individual por pessoa (quando o painel permitir subusuários) e revogação ao sair;
• Banco de dados: credenciais só com quem precisa;
• Discord: cargos de staff com autenticação em dois fatores exigida.

Quando alguém sai da equipe

1. Remova o nível de admin no banco;
2. Troque a senha do RCON se a pessoa a conhecia;
3. Remova o acesso ao painel, ao banco e aos canais internos;
4. Revise as ações recentes nos logs.

Hospede seu servidor com a VittHost

Nos planos OPENMP-BR da VittHost, você gerencia o acesso ao servidor pelo painel Pterodactyl. Servidores no Brasil, proteção DDoS, MySQL incluso, compatibilidade total com scripts SA-MP e teste grátis de 3 dias.