Segurança do banco de dados e senhas de jogadores
O banco de dados do seu servidor guarda contas, senhas e dados pessoais dos jogadores. Um vazamento prejudica a comunidade e a sua reputação — e muitos jogadores reutilizam senhas em outros lugares.
Senhas: sempre com hash
Nunca guarde senhas em texto puro nem com hashes fracos (como MD5 simples). Use as funções do MTA:
local hash = passwordHash(senha, "bcrypt", {})
local ok = passwordVerify(senhaDigitada, hashSalvo)O bcrypt é lento de propósito, o que torna ataques de força bruta muito mais difíceis mesmo se o banco vazar.
Migrando senhas antigas
Se o seu banco tem senhas em texto puro ou MD5, migre no próximo login de cada jogador: verifique com o método antigo e, se correto, salve o novo hash bcrypt.
Credenciais do banco
- Senha forte para o usuário do banco;
- Nunca em scripts de cliente;
- Fora de repositórios públicos e de prints;
- Troque imediatamente se alguém de fora da equipe teve acesso.
Permissões mínimas
- O usuário do servidor de jogo precisa de acesso às suas tabelas — não a todos os bancos;
- Um site ou bot que só lê rankings deve ter um usuário somente leitura, restrito às tabelas necessárias.
Consultas seguras
Consultas parametrizadas sempre. Veja "Consultas seguras: evitando SQL injection no MTA".
Dados pessoais e LGPD
Evite coletar o que não precisa. Se coletar (e-mail, data de nascimento):
- Informe o motivo;
- Proteja o acesso;
- Permita que o jogador peça exclusão da conta;
- Não exponha IPs, seriais e e-mails em sites, logs públicos ou prints.
Backups também são dados sensíveis
Backups contêm tudo. Guarde em locais seguros e restritos.
Se houver vazamento
- Troque as credenciais do banco;
- Descubra a origem (resource com backdoor? acesso indevido?);
- Force troca de senha dos jogadores, se necessário;
- Comunique a comunidade com transparência;
- Avalie obrigações legais conforme a LGPD.
Hospede seu servidor com a VittHost
No MTASA-BR da VittHost, você tem 1 banco MySQL incluso, com credenciais gerenciadas pelo painel Pterodactyl. Servidores no Brasil, proteção DDoS, downloads acelerados por nginx dedicado e teste grátis de 3 dias.
