Estás revisando tranquilamente la consola de tu servidor de Minecraft en el panel de BoxToPlay o echando un vistazo a tus archivos de registro, cuando de repente una línea llama tu atención: un usuario con un nombre desconocido, como scanner672715, intentó conectarse en plena noche a tu mundo privado.
Un nombre desconocido en los registros no demuestra que hayan hackeado tu servidor. Puede ser un bot que recorre direcciones IP en busca de servidores accesibles. Para saber si consiguió entrar, comprueba si la conexión fue rechazada o aceptada.
Para proteger un servidor privado, empieza por tres pasos: activa la lista blanca, añade solo a tus amigos y mantén la autenticación oficial de las cuentas. Si utilizas el modo sin conexión o un proxy, sigue también las precauciones correspondientes más abajo. La guía cubre Java, servidores con mods, Bedrock y NukkitX.
1. Entender los registros: ¿escaneo o intrusión?
Cuando un bot de escaneo recorre la red, prueba miles de direcciones IP y puertos de forma automática para catalogar los servidores de juego activos.
En cuanto detecta un servidor encendido, su script envía un paquete de conexión para comprobar si la entrada está libre. Este es el tipo de mensaje que aparece entonces en tu consola o en el archivo logs/latest.log:
[03:14:22 INFO]: Disconnecting com.mojang.authlib.GameProfile@... [scanner672715]: You are not white-listed on this server!
Qué significa este mensaje
Este mensaje indica que la lista blanca rechazó este intento de conexión.
El jugador no entró al mundo mediante esa conexión. Sin embargo, ese mensaje por sí solo no permite saber qué ocurrió en otras conexiones ni demostrar que todo el servidor sea seguro.
En Java, una línea joined the game indica que un jugador entró al mundo. Si encuentras una conexión aceptada con un nombre desconocido, retira los permisos que tenga, bloquéalo y revisa las acciones registradas antes de volver a jugar con normalidad.
2. Activar la Whitelist
Para un servidor privado pensado para jugar en solitario, en familia o con amigos, la whitelist (lista blanca) es con diferencia la protección más sencilla, eficaz y fiable.
La lista blanca es una función nativa de Minecraft Java, incluidos Vanilla, Paper, Purpur, Fabric, Forge y NeoForge. NukkitX también ofrece comandos /whitelist, mientras que Bedrock oficial utiliza una allowlist. Reserva el acceso a los jugadores autorizados, con posibles excepciones para los operadores. Limita también los permisos /op.
Desde el panel BoxToPlay
- Abre Configuración en tu panel de BoxToPlay.
- En Java, activa Lista blanca (
white-list=true). Si tu versión ofreceenforce-whitelist=true, actívalo para expulsar a los jugadores no autorizados al recargar la lista. Después de retirar a alguien, ejecuta/whitelist reloady comprueba quién sigue conectado. - Guarda los cambios y reinicia el servidor. También puedes gestionar a tus invitados desde Jugadores → Lista Blanca y Entrada manual.
Comandos de Whitelist (Java y NukkitX)
También puedes utilizar la consola del panel o ejecutar los comandos en el juego con los permisos necesarios:
- Activar la lista blanca:
/whitelist on - Añadir a un amigo de confianza:
/whitelist add NombreDelJugador - Eliminar a un jugador de la lista:
/whitelist remove NombreDelJugador - Consultar los jugadores autorizados:
/whitelist list - Recargar la lista tras un cambio:
/whitelist reload
Comandos de Allowlist (Bedrock oficial)
En el servidor oficial de Minecraft Bedrock (BDS), la lista blanca se denomina Allowlist (allow-list=true), mientras que los servidores NukkitX mantienen el comando /whitelist clásico. En tu panel de Bedrock, selecciona simplemente Sí en Lista blanca dentro de Configuración, manteniendo activada la opción Cuenta Microsoft obligatoria (online-mode=true).
En Bedrock oficial, utiliza preferentemente la consola del panel para gestionar los accesos. En el juego, estos comandos requieren los permisos correspondientes:
- Activar la lista:
/allowlist on - Añadir a un jugador:
/allowlist add "Gamertag Del Jugador" - Eliminar a un jugador:
/allowlist remove "Gamertag Del Jugador" - Ver los jugadores autorizados:
/allowlist list - Recargar la lista:
/allowlist reload
Consejo esencial para Bedrock:
Los nombres de usuario de Xbox (Gamertags) suelen contener espacios (por ejemplo,Alex El Minero). Para añadir a estos jugadores sin provocar un error de sintaxis en la consola, escribe siempre su nombre entre comillas:/allowlist add "Alex El Minero".
La lista blanca controla quién puede entrar, no quién puede descubrir la dirección del servidor. En modo sin conexión, no basta por sí sola para impedir que alguien utilice un nombre autorizado.
3. Proteger un servidor en modo no Premium (crack)
Con online-mode=true, el servidor verifica las cuentas oficiales antes de permitir la conexión. Un desconocido no puede suplantarte simplemente escribiendo tu nombre de jugador. Esto no protege una cuenta cuyas credenciales hayan sido robadas.
En cambio, si has activado la opción Servidor crackeado (online-mode=false) en Configuración para admitir a amigos sin cuenta oficial, cualquier bot o intruso puede intentar conectarse usando el nombre del propietario o de un administrador con permisos /op.
La opción más sencilla es mantener online-mode=true. Si necesitas el modo sin conexión, instala un sistema de autenticación compatible desde el catálogo del panel y comprueba que funciona antes de abrir el acceso. Un servidor Vanilla sin plugin ni mod de autenticación debe mantenerse en modo oficial.
Antes de abrir el servidor, registra las cuentas del propietario y de los administradores para que un desconocido no pueda reservar sus nombres primero. Utiliza contraseñas únicas, distintas de las de Microsoft y del panel. Detrás de un proxy, la autenticación y el aislamiento de los servidores de juego se configuran juntos, como se explica en la sección 4.
Servidores con plugins (Paper, Purpur, Spigot)
AuthMe Reloaded (Paper, Purpur, Spigot)
AuthMe Reloaded es el plugin de autenticación más completo y probado en servidores Bukkit, Spigot, Paper y Purpur. Nada más conectarse, el jugador queda inmovilizado: no puede moverse, abrir el inventario, interactuar con el mundo ni ejecutar comandos hasta validar su contraseña.
Comandos de jugador
- Primera conexión (registro):
/register <contraseña> <confirmarContraseña> - Siguientes inicios de sesión:
/login <contraseña> - Cambiar contraseña:
/changepassword <antiguaContraseña> <nuevaContraseña>
Comandos de admin
- Registrar manualmente a un jugador:
/authme register <jugador> <contraseña> - Asignar una nueva contraseña tras verificar la identidad del jugador:
/authme password <jugador> <nuevaContraseña> - Recargar la configuración del plugin:
/authme reload
Comodidad con FastLoginPlus:
FastLoginPlus permite evitar la contraseña a las cuentas oficiales después de verificarlas. En Paper y Spigot también necesita ProtocolLib. Comprueba las versiones compatibles y la configuración de AuthMe antes de activarlo.
LoginSecurity (alternativa ligera)
Si buscas un plugin más sencillo y minimalista para un servidor pequeño entre amigos, LoginSecurity ofrece una configuración muy rápida y ligera.
Comandos de jugador
- Primera conexión (registro):
/register <contraseña> - Siguientes inicios de sesión:
/login <contraseña> - Cambiar contraseña:
/changepass <antiguaContraseña> <nuevaContraseña> - Cerrar sesión manualmente:
/logout
Comandos de admin
- Asignar una nueva contraseña a un jugador:
/lac changepass <jugador> <nuevaContraseña> - Recargar la configuración:
/lac reload
Servidores con mods (Fabric, Forge, NeoForge)
Un servidor modded puro no utiliza plugins de Spigot o Paper. Necesitas instalar un mod del lado del servidor (en la carpeta mods/ desde el menú Plugins y Mods → Mods de tu panel), sin que tus amigos tengan que instalarlo en su ordenador.
EasyAuth (Fabric)
EasyAuth es la referencia moderna para servidores Fabric. Funciona 100 % en el servidor y bloquea el movimiento, las interacciones y el chat hasta que el jugador inicia sesión.
Comandos de jugador
- Primera conexión (registro):
/register <contraseña> <confirmarContraseña> - Siguientes inicios de sesión:
/login <contraseña> - Cambiar contraseña:
/account changePassword <antiguaContraseña> <nuevaContraseña> - Eliminar la propia cuenta:
/account unregister <contraseña>
Comandos de admin
- Registrar a un jugador desde la consola:
/auth register <jugador> <contraseña> - Actualizar la contraseña de un jugador:
/auth update <jugador> <nuevaContraseña> - Recargar la configuración del mod:
/auth reload
EasyLogin (Forge, NeoForge, Fabric)
Si juegas en Forge o NeoForge, o si prefieres usar el mismo mod en los tres loaders, EasyLogin mantiene al jugador aislado hasta que confirma su contraseña.
Comandos de jugador
- Primera conexión (registro):
/register <contraseña> <confirmarContraseña> - Siguientes inicios de sesión:
/login <contraseña> - Cambiar contraseña:
/changepassword <antiguaContraseña> <nuevaContraseña> <confirmarContraseña> - Cerrar la sesión actual:
/logout
Comandos de admin
- Restablecer la cuenta tras verificar la identidad del jugador:
/easylogin resetpassword <jugador> - Recargar la configuración:
/easylogin reload
Eliminar o restablecer una cuenta puede dejar su nombre disponible para un nuevo registro. Cierra temporalmente el acceso durante la operación y acompaña al jugador hasta que vuelva a registrarse. Nunca fuerces el inicio de sesión de un nombre sin verificar a quién pertenece.
Sobre los grandes modpacks:
Un cliente Vanilla incompatible con tu modpack puede ser rechazado antes de entrar. Esa comprobación de compatibilidad no sustituye a la lista blanca ni a la autenticación de los jugadores.
NukkitX y Crossplay (Java + Bedrock)
Si alojas un servidor NukkitX con la autenticación de Xbox desactivada o un servidor crossplay Java + Bedrock en modo no oficial, estas son las herramientas adecuadas:
FormAuth y TopLogin (NukkitX)
En un servidor NukkitX, tienes dos plugins instalables en 1 clic desde el catálogo de BoxToPlay para proteger las cuentas:
- FormAuth: muestra directamente en pantalla una ventana emergente nativa de Bedrock para registrarse e iniciar sesión al entrar, sin siquiera abrir el chat. Si un jugador olvida su clave, un administrador puede restablecerla con
/apr <jugador> <nuevaContraseña> <confirmación>. - TopLogin: ofrece autenticación ligera mediante formulario o comandos (
/login <contraseña>,/passwd <nuevaContraseña>para el jugador, y/setpasswd <jugador> <nuevaContraseña>desde consola o admin).
Geyser y Floodgate (Crossplay Java + Bedrock)
Si permites que jugadores de Bedrock se unan a tu servidor Java mediante Geyser (o mediante el pack preconfigurado Java + Bedrock), el complemento imprescindible es Floodgate.
Floodgate permite que los jugadores de Bedrock autenticados con su cuenta de Microsoft entren a un servidor Java sin tener Java Edition. Utiliza la versión adecuada para tu servidor o proxy y el modo auth-type: floodgate en Geyser. Mantén privada la clave key.pem. Si utilizas AuthMe, comprueba la compatibilidad y la configuración de tu versión antes de eximir de la contraseña a los jugadores de Bedrock. Esa excepción nunca debe incluir a jugadores de Java sin autenticar. Consulta los pasos en nuestra guía de configuración de GeyserMC.
Comandos útiles
- Consultar los diagnósticos de Geyser:
/geyser dump - Añadir un jugador de Bedrock a la lista blanca de Floodgate:
/fwhitelist add NombreBedrock - Retirarlo de esa lista:
/fwhitelist remove NombreBedrock
4. Aislar una red BungeeCord o Velocity
Si administras una red compuesta por varios servidores unidos mediante un proxy BungeeCord o Velocity, debes prestar especial atención al aislamiento de tus servidores de juego internos (los servidores «backend»). Te recomendamos consultar nuestra guía dedicada para crear una red BungeeCord y Velocity para configurar tu infraestructura paso a paso.
La trampa de esquivar el proxy
En una arquitectura de red habitual:
- Los jugadores se conectan únicamente a la dirección pública de tu proxy.
- El proxy verifica su identidad y los redirige al lobby, al servidor de supervivencia o a los minijuegos.
Los servidores backend utilizan online-mode=false porque el proxy se encarga de autenticar a los jugadores. Mantén online-mode=true en el proxy para verificar las cuentas oficiales. Si tu red admite jugadores en modo sin conexión, su sistema de autenticación también debe impedir que salgan del servidor de acceso antes de identificarse.
El peligro: si un servidor backend acepta conexiones directas sin comprobar que proceden realmente de tu proxy, un escáner de IP puede descubrir el puerto del servidor backend y conectarse a él directamente, ¡esquivando por completo el proxy y su seguridad!
Blindar los servidores backend
Si controlas el cortafuegos de la máquina, restringe también los puertos backend al proxy. En un alojamiento compartido, utiliza las protecciones de reenvío adecuadas que se explican a continuación y contacta con soporte si tienes dudas sobre el aislamiento. Mantén en privado el secreto de Velocity o el token de BungeeGuard.
Servidores Paper y Purpur
- Con Velocity (recomendado): utiliza el reenvío
modern. Para un backend Paper compatible vinculado desde el panel de BoxToPlay, la configuración activaproxies.velocity.enabledy establece el secreto compartido enconfig/paper-global.yml. Reinicia el backend para cargar esos ajustes y comprueba que puedes entrar por el proxy y que una conexión directa es rechazada. - Con BungeeCord: el modo clásico (
settings.bungeecord: trueenspigot.yml) no verifica ningún secreto. Instala BungeeGuard en el proxy y en cada backend. Copia el token generado por el proxy enallowed-tokensde cada backend y reinícialos. Instalar el plugin no basta.
Servidores con mods (Fabric, Forge, NeoForge)
- En Fabric: instala y configura FabricProxy-Lite con el mismo secreto que Velocity. CrossStitch puede completar la compatibilidad de los comandos de mods, pero no sustituye a esa verificación.
- En Forge y NeoForge: Proxy Compatible Forge (PCF) permite el reenvío moderno en las versiones compatibles. Configura ese modo y el secreto compartido en PCF, además de hacerlo en Velocity. Para Forge 1.13 a 1.20.1, Ambassador también puede ser necesario en el proxy para la compatibilidad del protocolo con mods.
5. Limitar la información expuesta y proteger los accesos
Algunos escáneres consultan el estado del servidor para recopilar su versión, descripción o una muestra de los jugadores conectados. Puedes limitar esa información, pero eso no vuelve invisible el puerto del servidor.
En Java, las siguientes opciones se encuentran en server.properties y, según la versión, en Configuración dentro del panel:
- Ocultar la muestra de jugadores (
hide-online-players=true): elimina los nombres de la respuesta de estado. No oculta el número de jugadores ni protege nombres que ya se conocen por otros medios. - Desactivar la respuesta de estado (
enable-status=false): el servidor aparece desconectado en la lista multijugador, pero los jugadores pueden seguir intentando entrar. Avisa a tus amigos para que no confundan ese estado con una avería. - Mantener los perfiles seguros (
enforce-secure-profile=true): en versiones Java compatibles, esta opción rechaza a jugadores sin una clave pública firmada por Mojang. No garantiza por sí sola que todos los mensajes estén firmados ni sustituye aonline-mode=true. Para un proxy o crossplay, respeta los ajustes compatibles con tu instalación. - Mantener privada la contraseña RCON: RCON permite enviar comandos de administrador a distancia. Conserva la contraseña segura generada por BoxToPlay y los ajustes técnicos gestionados por el panel. Query proporciona información del servidor y no está protegido por esa contraseña.
6. Proteger un servidor público (Anti-Bot y Anti-VPN)
Si administras un servidor público abierto a nuevos jugadores, la lista blanca no es una opción. ¿Cómo evitar que una oleada de bots sature tu servidor con conexiones falsas?
- Elegir un plugin anti-bot compatible: UltimateAntiBot y EpicGuard son proyectos gratuitos y de código abierto. Comprueba la versión de Minecraft y el software compatibles antes de instalarlos. En una red, sitúa la protección en la entrada, sobre el proxy, con el archivo previsto para él.
- Ajustar los controles con tus jugadores: las comprobaciones anti-VPN pueden rechazar a jugadores legítimos y utilizar servicios externos con sus propias cuotas o tarifas. Comprueba también las conexiones de Geyser/Floodgate antes de endurecer el filtrado.
Estos plugins filtran conexiones de Minecraft. No sustituyen a la protección de red frente a ataques DDoS ni garantizan que se detengan todos los bots.
7. Permisos, Rollback anti-grief y herramientas del panel
En el día a día, completa estas protecciones con las herramientas de tu panel de BoxToPlay:
- Limitar
/opcon LuckPerms: evita dar permisos de operador completos a todos tus jugadores o moderadores. LuckPerms permite conceder solo los comandos que necesita cada función. - Preparar un historial antes de los daños: en Paper y Purpur, CoreProtect permite inspeccionar las acciones registradas con
/co inspect. Para revertir las acciones de un jugador en las últimas dos horas dentro de un radio de 20 bloques a tu alrededor, empieza con/co rollback u:<jugador> t:2h r:20 #preview. Tras revisar la vista previa y crear una copia de seguridad, retira#previewpara aplicar la reversión. El plugin debe haber estado instalado antes de los daños. En Fabric, Ledger también ofrece historial y reversiones. GriefLogger registra interacciones en las versiones compatibles de Forge, NeoForge y Fabric, sin ofrecer por sí solo el mismo sistema de rollback. - Gestionar accesos desde Jugadores: añade o elimina amigos de la Lista Blanca, gestiona los Operadores (OP) y bloquea nombres o direcciones IP desde la interfaz o Entrada manual.
- Delegar mediante Co-administradores: utiliza Otros → Co-administrador para asignar solo los permisos necesarios del panel, sin compartir tu contraseña ni tus credenciales FTP.
- Restaurar una copia de seguridad: comprueba las fechas disponibles en Otros → Copias de seguridad y elige un punto anterior al problema. Una restauración completa reemplaza el estado actual del servidor y descarta los cambios realizados desde ese punto.
Mantén actualizados el servidor, sus plugins y sus mods, y protege tu cuenta de BoxToPlay con una contraseña única y la autenticación en dos pasos. Con una lista blanca adecuada, identidades verificadas y copias de seguridad disponibles, un nombre desconocido en los registros resulta mucho más fácil de gestionar.
¿Listo para iniciar una nueva aventura multijugador en una máquina fluida, protegida y con copias de seguridad diarias? ¡Descubre nuestros planes de alquiler de servidor Minecraft en BoxToPlay y pon en marcha tu mundo en pocos clics!