Perlindungan panel admin dan anti-bot

Server lebih sering dibajak bukan karena “peretasan hosting”, melainkan melalui operator: seseorang mencuri akun helper, dan akun itu memiliki /op, //set, dan /give. Berikut adalah langkah minimum untuk mencegahnya.

1. Jangan berikan op

op mengabaikan semua pembatasan plugin. Izin diberikan melalui grup di LuckPerms — Izin, grup, dan prefiks. Operator: Anda dan, mungkin, satu owner kedua.

Seberapa besar kewenangan operator juga dapat dikonfigurasi: “Operator permission level” di Pengaturan lanjutan. 4 — semuanya, 1 — hanya bypass perlindungan spawn.

2. Kunci perintah berbahaya

Bahkan dengan izin, beberapa perintah sebaiknya ditolak untuk semua orang kecuali Anda. Cara termudah adalah plugin seperti CommandWhitelist atau NoCheatCommands, tetapi LuckPerms menyediakan dasar:

/lp group moderator permission set minecraft.command.op false
/lp group moderator permission set worldedit.* false

Daftar hitam yang wajar untuk semua orang kecuali owner: op, deop, stop, whitelist off, //set, //replace, //regen, /give, /gamemode creative, perintah reload plugin, dan “menjalankan perintah sebagai pemain lain”.

Secara terpisah: kami tidak memasang plugin yang menyediakan akses shell — menjalankan perintah sistem operasi langsung dari chat. Itu adalah celah keamanan sekaligus cara membuat server macet; untuk detailnya, lihat Cara memasang mod dan plugin.

3. Login admin dengan kata sandi

Di server dengan login nickname, nickname tidak diverifikasi oleh apa pun: siapa pun bisa mengaku sebagai Anda. Plugin autentikasi wajib dipasang, dan untuk nickname admin sebaiknya aktifkan verifikasi tambahan — AuthMe mendukung pengikatan IP dan kata sandi kedua untuk perintah admin. Lihat Login nickname.

4. Bot

Server publik cepat atau lambat akan mendapat gelombang bot: puluhan login per detik, slot penuh, TPS jatuh. Yang membantu:

• plugin antibot (AntiBot, EpicGuard, BotSentry) — verifikasi saat login dan batas koneksi per IP;
• login ke jaringan melalui proxy Velocity — filter di sana berada di depan backend; lihat Jaringan server;
• “Packet anti-flood” di pengaturan lanjutan — kick untuk paket yang dikirim terlalu sering;
• whitelist sementara untuk melewati serangan.

Perlindungan DDoS kanal ada di sisi jaringan kami — Anda tidak perlu melakukan apa pun.

5. Lihat apa yang terjadi

• Log server (bagian “Automation and log”) — siapa di tim Anda melakukan apa di panel. Disimpan selama 90 hari.
• CoreProtect — apa yang dilakukan pemain di dunia, termasuk perintah dan chat: Rollback grief.
• Izin akses panel — Cara memberi akses kepada teman: orang yang diundang mendapat izin terpisah, bukan “akses penuh ke semuanya”.

6. Backup

Semua hal di atas akan gagal suatu hari. Backup dibuat otomatis sekali sehari — pastikan Anda tahu cara memulihkannya sebelum Anda membutuhkannya.