マイクラサーバーのセキュリティチェックリスト！9分野を一覧で確認

認証、ポート、権限、プラグイン、バックアップと個別記事はいろいろ読んだが、結局どこまで対策済みなのか分からない
友達を招待したあとに荒らし被害やアカウント乗っ取りが心配になってきたが、何から確認すればいいのか判断できない
これから公開する予定だが、必須の項目と後回しでいい項目の優先順位が知りたい

マイクラサーバーのセキュリティ設定は、認証、ポート、権限、プラグイン、バックアップ、Discordなど分野ごとに記事が分かれています。

必要なのは新しい設定を覚えることではなく、9分野を横断して自分のサーバーの抜けを洗い出すチェックリストです。

この記事では、認証・参加制限からDiscordまで9分野のチェック項目を一覧にします。

各分野の詳しい設定手順は個別記事に譲り、この記事で扱うのは確認すべき項目と見落としやすいポイントだけです。

読み終えるころには、自分のサーバーで対応済みの項目と未対応の項目がその場で分かります。

とくに次の3項目は、公開前でも公開後でも最優先で確認します。

Java版ならonline-modeがtrueになっているか
RCONやqueryを外部に公開したままにしていないか
allow-list（統合版）やwhitelist（Java版）が有効になっているか

この3つだけ確認しておけば、最低限の入り口は締まります。

spaこの記事を書いた人

サーバーの構築と運用を繰り返して4年。その経験をもとに記事80本以上を執筆。

プロフィール詳細 →お仕事の相談 →

この記事の使い方と優先順位

マイクラサーバーのセキュリティを公開前の必須確認と運用中の継続確認に分け、認証やバックアップなどの項目を示す図解

チェックする分野は次の9つです。

認証・参加制限
ポート・ファイアウォール
プロキシ構成
権限管理
ソフトウェア・プラグイン
バックアップ
荒らし・不正対策
管理アカウント・秘密情報
Discord・コミュニティ

すべてを今すぐ終わらせる必要はなく、読者がいまどの段階にいるかで優先順位が変わります。

読者の状況	優先して確認する分野
これから公開する準備中	認証・参加制限、ポート・ファイアウォール
すでに公開して友達を招待済み	荒らし・不正対策、権限管理、管理アカウント・秘密情報

公開前の読者は、まず接続の入り口を絞る認証とポートから確認します。

すでに友達を招待している読者は、いま起きうる荒らしや乗っ取りへの対策から確認したほうが効果的です。

認証・参加制限のチェックリスト

サーバーへ誰が入れるかを決める設定です。

Java版と統合版で確認する項目が異なります。

確認項目	確認内容	見落としやすいポイント
Java版のonline-mode	server.propertiesの`online-mode`が`true`になっているか	`false`にすると本人確認なしで名前を偽装した接続を許してしまう
統合版のonline-mode	インターネット公開時に`online-mode=true`になっているか	ローカル検証用の設定を公開後もそのまま使っている
統合版のallow-list	`allow-list=true`で招待した相手だけに絞れているか	`default-player-permission-level`が`member`以外のままになっている
参加リストの運用	whitelist（Java版）やallow-list（統合版）へ参加希望者を都度追加できているか	名前の追加を後回しにして一時的に誰でも入れる状態にしている

補足

Java版のwhitelistと統合版のallow-listは、参加できる相手を絞る同じ役割の機能ですが、設定名が異なります。

自分のサーバーがどちらのエディションか確認してから設定しましょう。

参加制限の具体的な設定手順は以下の記事で解説しています。

ポート・ファイアウォールのチェックリスト

サーバーへの通信経路そのものを絞る設定です。

確認項目	確認内容	見落としやすいポイント
RCONの公開	使わないなら`enable-rcon`が`false`のままか	使う場合は固有の長いパスワードと、接続元をファイアウォールで絞る設定が必須
queryの公開	使わないなら`enable-query`が`false`のままか	有効なままだとサーバー情報が外部から取得できる
開放ポートの範囲	ゲームに必要なポートだけを開放しているか	検証用に開けた管理系ポートを閉じ忘れている

補足

RCONは、外部のツールからサーバーへコマンドを送るための管理用ポートです。

使わない場合は無効のままにし、使う場合はパスワードと接続元の両方を絞ります。

RCONなんて設定した覚えがないんですけど、それでも確認する必要ありますか？

標準では無効なので、触っていなければ基本大丈夫です。使った記憶がある場合だけ見直しましょう。

ポート開放と閉じ方は以下の記事で解説しています。

プロキシ構成のチェックリスト

Velocityなどのプロキシを使っている場合だけ確認する項目です。

プロキシを使っていない読者はこの項目を飛ばしてかまいません。

確認項目	確認内容	見落としやすいポイント
forwarding secretの管理	Velocityのforwarding secretを外部に公開していないか	secretが漏れるとプレイヤー情報を偽装した接続の入り口になる
プロキシとバックエンドの通信	プロキシとゲームサーバー間の通信元を制限しているか	modern forwardingは公式でもファイアウォールの代替ではないと明記されている
直接接続の防止	ゲームサーバー側のポートへ直接接続できてしまわないか	プロキシを迂回されると認証チェックごと素通りする

補足

forwarding secretは、プロキシとゲームサーバーがお互いを正規の相手だと確認するための合言葉です。

漏れると偽のサーバーが同じ合言葉を名乗れてしまうため、外部へ絶対に公開しません。

プロキシ経由で自宅サーバーを公開する場合、IPを隠す・守る観点は以下の記事も参考になります。

権限管理のチェックリスト

誰にどこまでの操作を許すかを決める設定です。

バニラのOPだけで運用しているか、権限プラグインを導入しているかで確認項目が変わります。

確認項目	確認内容	見落としやすいポイント
OP付与の範囲	OPを渡している人数と用途を把握しているか	OPは全コマンドを実行できる強い権限で、必要な人だけに絞る
権限プラグインの利用	建築やモデレーションなど役割ごとに権限を分けているか	バニラOPだけの運用では権限を細かく分けられない
権限グループの見直し	引退したメンバーの権限を外しているか	権限プラグインを入れただけで満足し、グループ設計を放置している

最初は仲がいいからとOPを配りがちですが、あとから絞るのは意外と手間です。

細かい権限を役割ごとに分けたい場合は、権限プラグインの導入が現実的な選択肢です。

LuckPermsの設定は以下の記事で解説しています。

ソフトウェア・プラグインのチェックリスト

サーバー本体とプラグインの管理状態を確認します。

確認項目	確認内容	見落としやすいポイント
サーバーソフトの更新	対応バージョンの新しいビルドを使っているか	更新を止めたソフトは、あとから見つかった脆弱性の修正を受け取れない
導入プラグインの更新	各プラグインの開発が継続されているか	開発が止まったプラグインを気づかず使い続けている
荒らし被害のログ	破壊や窃盗を記録して元に戻せる仕組みがあるか	ログがないと被害範囲の特定と復旧に時間がかかる

更新を止めたソフトやプラグインは、脆弱性の修正を受け取れません。

破壊や窃盗を記録して元に戻す仕組みは以下の記事で解説しています。

バックアップのチェックリスト

データを失ったときに戻せる状態かを確認します。

Realms利用者と自前でバックアップを取っている読者で確認項目が変わります。

確認項目	確認内容	見落としやすいポイント
バックアップの有無	自動または手動でワールドデータを定期保存しているか	Realmsは自動バックアップと過去状態への復元に対応している
復元テストの実施	実際にバックアップから復元できるか一度試したか	取得しているだけで満足し、復元できるか未確認のまま放置している
保存先の分離	バックアップをサーバー本体と別の場所に置いているか	サーバーと同じ場所だけに保存し、両方同時に失う構成になっている

バックアップは、一度復元を試すまでが確認です。

自前でのバックアップと復元の手順は以下の記事で解説しています。

荒らし・不正対策のチェックリスト

すでに公開している読者が優先して確認したい分野です。

Java版と統合版で確認する設定が異なります。

確認項目	確認内容	見落としやすいポイント
Java版のrate-limit	荒らし対策として`rate-limit`を設定しているか	標準では無効になっている
Java版のenforce-whitelist	whitelist運用時に`enforce-whitelist`を有効にしているか	有効にしないと、リストにない相手が接続できてしまう場合がある
統合版のアンチチート設定	`server-authoritative-movement`関連の設定を確認しているか	この設定は統合版のサーバー認証移動機能を使う場合にのみ関係する。`player-position-acceptance-threshold`を大きくすると不正な移動を許容しやすくなる
BAN・キック運用	荒らしが発生したときすぐBANできる体制か	手順を事前に確認していないと対応が遅れる

荒らしが発生したときのBANコマンドは以下の記事で解説しています。

管理アカウント・秘密情報のチェックリスト

サーバー運営そのものを支えるアカウントと情報の管理です。

確認項目	確認内容	見落としやすいポイント
管理アカウントの二要素認証	対応しているサービスで二要素認証を有効にしているか	パスワードだけの運用は突破されると管理権限ごと奪われる
パスワードの使い回し	他サービスと同じパスワードを使っていないか	使い回しは他サービスの流出の影響を受けやすい
秘密情報の共有方法	パスワードやトークンをチャットや公開ファイルに残していないか	招待用リンクや設定ファイルに書いたまま忘れている

補足

二要素認証は、パスワードに加えてスマートフォンなどでもう一段階の本人確認を行う仕組みです。

対応しているサービスでは有効にしておくと、パスワードだけが漏れても不正ログインを防ぎやすくなります。

OPなど管理権限の考え方は以下の記事で解説しています。

Discord・コミュニティのチェックリスト

サーバー外の連絡手段であるDiscordの安全性も確認します。

確認項目	確認内容	見落としやすいポイント
サーバーの認証レベル	Discordの認証レベルを参加人数に合わせて設定しているか	初期設定のままだと荒らしアカウントが入りやすい
AutoModの活用	迷惑投稿や招待リンクの連投を自動で防ぐ設定を使っているか	設定していないと手動対応が追いつかない
ルールスクリーニング	新規参加者にルール同意を求める設定を使っているか	招待リンクだけ配って参加条件を確認していない

DiscordとマイクラサーバーをつなぐDiscordSrvの設定は以下の記事で解説しています。