Seguridad y DDoSCasi todo server.properties es jugabilidad. Seis líneas no lo son: deciden quién puede conectarse y qué puede alcanzarte desde fuera, y todas tienen un valor por defecto que es el correcto por un motivo.
Las seis
| Ajuste | Valor seguro | Por qué |
|---|---|---|
online-mode | true | Verifica que los jugadores son dueños de la cuenta que dicen. Apagado, cualquiera puede ser cualquiera. |
enable-rcon | false | Consola remota. Si no sabes que la necesitas, no la necesitas, y está a una contraseña del control total. |
rcon.password | Larga y única | Solo importa si RCON está encendido. Una débil equivale a ninguna protección. |
white-list | true en servidores privados | El único ajuste que corta un problema antes de que se conecte. |
enforce-whitelist | true | Echa a los jugadores no listados que ya estén dentro cuando cambia la lista. Sin él, la lista blanca solo se aplica al entrar. |
enable-query | false salvo que haga falta | Publica datos del servidor a quien los pida. Útil para webs de listados, innecesario en otro caso. |
online-mode=false no es un ajuste, es una decisiónDesactiva la única comprobación de que quien se conecta es quien dice. En un servidor alcanzable directamente significa que cualquiera puede entrar como tú, con tus permisos de operador. Existe para backends detrás de un proxy que autentica y que son a su vez inalcanzables desde internet, y solo ahí.
Si encendiste RCON
- Usa una contraseña larga y aleatoria
No la que usas en otro sitio, y que no sea una palabra. RCON le da a quien la tenga acceso completo a la consola.
- No compartas el puerto en público
No es el mismo que el puerto de juego y no necesita conocerlo nadie que vaya a jugar.
- Apágalo cuando termines
Casi todo el mundo enciende RCON para una herramienta, una vez. Dejarlo encendido después es un riesgo permanente a cambio de una comodidad temporal.
enforce-secure-profile va del chat, no del accesoControla los mensajes de chat firmados. Apagarlo no debilita la verificación de cuentas, y es algo normal en servidores con plugins de chat. No lo confundas con online-mode: suenan relacionados y no lo están.
online-mode=true, RCON apagado o detrás de una contraseña fuerte, y la lista blanca aplicada si el servidor es privado.