Lewati ke konten utama

Panduan Komprehensif: Standar Keamanan Server Minecraft

Keamanan server adalah aspek fundamental yang tidak boleh diabaikan. Server yang tidak diamankan dengan benar sangat rentan terhadap serangan peretas, penyalahgunaan akses, hingga serangan bot yang dapat merusak integritas data server Anda.

Panduan ini disusun secara sistematis untuk menerapkan standar keamanan berlapis (Defense in Depth), mulai dari autentikasi hingga proteksi jaringan.

1. Sistem Autentikasi​

Apabila server Anda beroperasi dalam mode Offline atau mengizinkan pemain Cracked, risiko keamanan terbesar adalah pencurian identitas. Tanpa sistem login, siapa pun dapat menggunakan nama pengguna "Admin" atau "Owner" dan mengambil alih kendali server.

Solusi: Plugin LibreLogin​

Kami merekomendasikan penggunaan plugin LibreLogin karena arsitekturnya yang ringan dan fitur keamanannya yang modern.

Panduan Kompatibilitas Versi: Pemilihan versi plugin sangat bergantung pada versi server Minecraft yang Anda jalankan. Harap perhatikan panduan berikut agar plugin berjalan stabil:

  • Untuk Minecraft 1.21.5+: Bisa dengan menggunakan LibreLogin Prod, yaitu 0.25.x (atau yang lebih baru).

  • Untuk Minecraft 1.21.1 - 1.21.4: Menggunakan LibreLogin versi terbaru, yaitu 0.24.0 (atau yang lebih baru), untuk memastikan kompatibilitas penuh dengan protokol server terbaru.

  • Untuk Minecraft di bawah 1.21.0 (contoh: 1.20.4 ke bawah):

    1. Disarankan untuk mencoba versi 0.24.0 terlebih dahulu.
    2. Namun, jika Anda mengalami kendala stabilitas (seperti error saat startup atau pemain gagal bergabung), bisa ganti plugin ke versi 0.23.1.

Konfigurasi Wajib (config.conf):

  • Pembatasan Akun (Max Accounts): Atur max_accounts_per_ip menjadi 2 atau 3. Hal ini bertujuan untuk mencegah serangan bot yang membuat ribuan akun palsu secara bersamaan.
  • Kekuatan Kata Sandi: Pastikan akun Administrator menggunakan kata sandi yang panjang, kompleks, dan unik.
  • Sesi Login: Aktifkan fitur sesi agar pemain yang terputus koneksinya sesaat tidak perlu melakukan login ulang secara berulang.

2. Kebijakan "Zero OP" (Manajemen Hak Akses)​

Kesalahan fatal yang sering terjadi adalah memberikan status Operator (/op) secara permanen kepada staf. Status OP memberikan akses tak terbatas ke seluruh sistem server ("Tuhan"), yang sangat berbahaya jika akun tersebut diretas.

Prosedur Standar Operasional (SOP) Pemberian OP​

Kami sangat menyarankan penerapan kebijakan akses yang ketat:

  1. Hanya Saat Diperlukan: Status OP hanya boleh diberikan ketika ada kebutuhan mendesak (seperti perbaikan sistem atau debugging) yang tidak bisa dilakukan dengan izin biasa.
  2. Hanya Saat Online: Berikan status OP hanya ketika Anda sedang online di dalam server.
  3. Pencabutan Segera: Segera cabut status tersebut (/deop <nama>) begitu tugas selesai atau sebelum Anda logout/offline. Jangan pernah meninggalkan akun dalam status OP saat tidak aktif.

Solusi Teknis​

  • Delegasi Izin (LuckPerms): Gunakan plugin LuckPerms untuk kebutuhan sehari-hari. Berikan izin spesifik (seperti essentials.ban atau gamemode) tanpa memberikan OP.
  • Pengaman Otomatis: Gunakan plugin OPGuard untuk memastikan SOP di atas berjalan otomatis (misalnya: otomatis deop saat logout).

3. Lapisan Keamanan Terakhir (OPGuard)​

Meskipun akun Anda memiliki kata sandi yang kuat, risiko peretasan atau adanya celah keamanan (backdoor) pada plugin pihak ketiga tetap ada.

Solusi: Proteksi dengan OPGuard​

Plugin ini berfungsi sebagai pengawas internal bagi pemegang hak akses tinggi.

  • Fungsi Utama: Mencegah plugin berbahaya memberikan status OP kepada pemain asing secara diam-diam.
  • Pembatasan Perintah: Anda dapat memblokir perintah kritis seperti /stop, /restart, atau /reload agar tidak dapat dieksekusi sembarangan, bahkan oleh seorang OP.
  • Autentikasi Sekunder: OPGuard memungkinkan pengaturan kata sandi kedua khusus untuk mengeksekusi perintah administratif. Ini memberikan lapisan keamanan ganda jika akun admin berhasil diretas.

Rekomendasi: Untuk konfigurasi detail mengenai pengamanan akun operator, silakan baca halaman: Panduan OPGuard.

4. Pencegahan Program Ilegal (Anti-Cheat)​

Penggunaan program modifikasi ilegal (Hack Client) oleh pemain tidak bertanggung jawab dapat merusak pengalaman bermain pemain lain, seperti kemampuan terbang (Fly) atau menyerang otomatis (KillAura).

Solusi: GrimAC (Free)​

Untuk server versi modern (1.20 ke atas), GrimAC adalah solusi Anti-Cheat yang sangat direkomendasikan karena akurasi deteksinya yang tinggi dan bersifat sumber terbuka (open-source).

  • Konfigurasi Hukuman: Secara bawaan, GrimAC mungkin hanya membatalkan gerakan ilegal pemain. Disarankan untuk mengubah konfigurasi punishments di config.yml agar sistem secara otomatis mengeluarkan (kick) atau memblokir (ban) pemain yang terdeteksi melakukan kecurangan berulang kali.

Rekomendasi: Untuk konfigurasi detail mengenai pengamanan akun operator, silakan baca halaman: Panduan GrimAC.

5. Stabilitas Server & Anti-Exploit​

Serangan teknis sering dilakukan dengan mengirimkan paket data abnormal dalam jumlah besar (seperti buku dengan karakter rusak) untuk membebani CPU server hingga server berhenti beroperasi (Crash).

Solusi: ExploitFixer & Konfigurasi Paper​

  • ExploitFixer: Plugin ini memantau lalu lintas paket data. Jika terdeteksi anomali paket yang berpotensi merusak, koneksi pemain tersebut akan diputus secara otomatis.
  • Optimasi Konfigurasi Paper (paper-global.yml):
    • anti-xray: Aktifkan (mode 2) untuk menyembunyikan keberadaan mineral berharga dari pengguna X-Ray.
    • book-size: Pastikan batasan ukuran buku diaktifkan untuk mencegah eksploitasi data buku.

6. Pemulihan Data & Audit (CoreProtect)​

Tidak ada sistem keamanan yang sempurna. Jika terjadi perusakan wilayah (griefing) oleh pemain yang lolos dari pengawasan, Anda memerlukan kemampuan untuk memulihkan keadaan.

Solusi: CoreProtect​

Plugin ini mencatat setiap aktivitas perubahan blok, interaksi peti, dan riwayat percakapan.

  • Fitur Rollback: Anda dapat mengembalikan kondisi area tertentu ke waktu sebelumnya.
    • Contoh Perintah: /co rollback u:NamaPelaku t:1h r:50
    • Fungsi: Mengembalikan semua kerusakan yang dilakukan oleh "NamaPelaku" dalam kurun waktu 1 jam terakhir pada radius 50 blok.

7. Proteksi Wilayah Fisik (WorldGuard)​

Aset vital server seperti area Spawn atau Lobi Utama harus dilindungi secara permanen dari interaksi pemain.

Solusi: WorldGuard​

  • Definisi Wilayah: Gunakan WorldEdit untuk menyeleksi area, kemudian simpan dengan perintah /rg define spawn.
  • Penerapan Aturan (Flags):
    • build deny: Mencegah penempatan atau penghancuran blok.
    • pvp deny: Menonaktifkan serangan antar pemain.
    • tnt deny & creeper-explosion deny: Mencegah kerusakan akibat ledakan.

8. Keamanan Informasi (Security by Obscurity)​

Jangan memberikan "peta" kepada peretas. Jika mereka mengetahui daftar plugin yang Anda gunakan, mereka dapat dengan mudah mencari celah keamanan (exploit) spesifik pada plugin tersebut.

Ada dua metode untuk menyembunyikan informasi ini, mulai dari cara dasar hingga penggunaan alat profesional.

A: Metode Dasar (Manajemen Izin)​

Cara termudah untuk mencegah pemain melihat daftar plugin (perintah /plugins atau /pl) adalah dengan mencabut izin aksesnya secara global menggunakan LuckPerms.

  1. Nonaktifkan Izin Bukkit: Jalankan perintah berikut di konsol atau dalam game (sebagai admin) untuk mencabut akses dari grup default (pemain biasa): 
    /lp group default permission set bukkit.command.plugins false
    /lp group default permission set bukkit.command.version false
    /lp group default permission set bukkit.command.help false
  2. Hasil: Ketika pemain biasa mengetik /plugins, server akan merespons dengan pesan "You do not have permission...", seolah-olah perintah itu tidak ada untuk mereka.

B: Plugin Hide Pro (Paid)​

Untuk keamanan tingkat lanjut dan tampilan yang lebih bersih (Premium), kami sangat menyarankan penggunaan Plugin Hide Pro.

Alat ini tidak hanya memblokir perintah, tetapi juga memanipulasi fitur Tab-Complete. Artinya, ketika pemain mengetik /, mereka tidak akan melihat saran perintah yang sensitif sama sekali.

  • Unduh: Plugin Hide Pro (SpigotMC)
  • Fitur Utama:
    • Tab-Complete Filter: Mencegah pemain mengintip perintah admin melalui tombol TAB.
    • Command Rewrite: Anda bisa mengubah pesan "Unknown Command" menjadi pesan kustom agar terlihat lebih profesional.
    • Cross-Platform: Mendukung Spigot, BungeeCord, dan Velocity.

Tambahan: Sembunyikan Versi Server​

Jangan lupa untuk menyembunyikan versi "mesin" server Anda dari menu debug (F3).

  • Buka file config/paper-global.yml.
  • Ubah pengaturan version-hiding menjadi true.

9. Keamanan Jaringan Proxy (Khusus BungeeCord/Velocity)​

PERINGATAN KRUSIAL

Bagian ini khusus bagi Anda yang menggunakan jaringan proxy (BungeeCord atau Velocity). Abaikan jika Anda hanya menjalankan satu server.

Celah keamanan paling umum pada jaringan proxy adalah kemampuan peretas untuk melewati sistem login proxy dengan menghubungkan diri secara langsung ke port server backend (Survival/Lobby).

Solusi: BungeeGuard​

  • Instal BungeeGuard pada Proxy dan seluruh server backend Anda.