保护 Discord 服务器免受突袭：7 个真正有用的设置
几乎每个正在成长的服务器迟早都会遭遇突袭。这七个设置能挡住大部分，而且多数只需要你花五分钟。
一次突袭几乎总是同一个套路。凌晨两点到五点之间，五十到三百个刚注册的账号加入，在每个频道发同一条消息，@ @everyone，然后消失。等你醒来，服务器里全是某个加密货币网站的广告，一半成员已经把通知静音了。
烦人的是：这类攻击大多是低成本自动化的，遇到非常简单的门槛就会失败。如果你运营的服务器可以被公开搜到，就按顺序检查下面七点。前四点是 Discord 自带的，只需要几分钟。
1. 提高验证等级
这是效果最好的单项设置，却总是被忽略。
在服务器设置、管理、验证等级中，你可以决定一个账号必须满足什么条件，才能在你的服务器里发言。各等级含义如下：
| 等级 | 要求 |
|---|---|
| 低 | 已验证的电子邮件地址 |
| 中 | 注册 Discord 至少 5 分钟 |
| 高 | 成为你服务器成员至少 10 分钟 |
| 最高 | 已验证的手机号码 |
**任何公开服务器至少应设为「中」。**设为「高」时，大部分自动化突袭就会失效，因为攻击者得先让账号等上十分钟才能做任何事。这对他们来说不划算。
「最高」听起来很诱人，但也会把很多不想把手机号交给聊天软件的真实用户挡在门外。只在你正遭受攻击时使用。
2. 开启 Discord 自带的 AutoMod
Discord 早就有内置的管理功能，很多服务器所有者却从来没打开过。在服务器设置、AutoMod 中，点两下就能开启针对垃圾链接、批量提及和常被滥用词语的过滤器。
它无法代替完整的过滤器，但免费，而且马上就能用。
3. 理清到底谁有权限
最糟糕的情况不是来自外部的突袭，而是内部账号被盗。你团队里有人点了钓鱼链接，攻击者突然拿到了管理员权限，四分钟后所有频道都没了。
把身份组列表过一遍，对每个拥有管理员权限的身份组问一句：这个人真的需要它吗？绝大多数情况下，具体的权限就够了：
- 支持人员需要的是管理消息和禁言成员，而不是管理员。
- 活动负责人需要的是某一个分类里的管理频道，而不是整个服务器。
- Bot 很少真的需要全部权限，即使它的邀请链接要求全部权限。
你还应该要求所有团队成员开启两步验证。在服务器设置、安全设置里有一个开关，可以阻止未开启 2FA 的人执行管理操作。
4. 限制邀请
突袭需要邀请链接。如果你的链接在某个服务器列表里两年都没变过，它早就被收进某个合集，被轮流利用。
对于公开列表，请创建带有过期时间和使用次数上限的邀请，而不是到处发一个无限制的链接。在服务器设置、邀请中，你可以看到所有有效链接并撤销旧的。
5. 强制账号年龄
Discord 自带工具到这里就到头了。验证等级「中」只要求账号存在五分钟，对认真的攻击者毫无阻碍。提前一周注册账号的人照样能进来。
Bot 可以检查 Discord 账号的创建日期，并自动移除低于某个门槛的账号。七天是一个不错的默认值：几乎能拦住所有一次性账号，又几乎不会挡住真正的新人。
这里有一点很重要：用踢出，不要封禁。被踢出的账号在年龄够了之后还能回来。封禁迟早会落到某个因为朋友邀请才刚注册 Discord 的人头上。
在 AlphaCloud 中，这就是账号年龄模块，你在网页面板里填两个字段就能设置好。
6. 在服务器前设置验证
原理是：新成员只能看到一个频道。只有在那里完成某个操作后，才会获得解锁其余频道的身份组。
你只需要做一次：
- 对
@everyone取消除验证频道以外所有频道的查看权限。 - 创建一个可以查看其余所有内容的身份组。
- 让 Bot 在点击按钮时授予这个身份组。
一个简单的按钮就能挡住只会发消息的 Bot。如果你的服务器被人蓄意针对，一道小算术题会是更好的选择，因为它没法闭着眼睛点过去。
还有个不错的副作用：成员列表能让你立刻看出谁通过了验证，谁还没有。
7. 自动紧急刹车
前六点能挡住大部分。剩下的，你需要一个比你反应更快的东西。
背后的思路很简单：单个操作并不可疑，可疑的是它的速度。删一个频道是日常操作。一个昨天才成为管理员的账号在二十秒内删掉十个频道，那就是攻击。
Anti nuke 系统会统计这类操作，加以权重，并在超过阈值时介入。有意义的做法是：
- 对真人隔离而不是封禁。攻击会立刻停止，但如果是误报，你可以把身份组还回去。
- 一个日志频道，让你早上能看到发生了什么。
- 一份白名单，留给你的管理层和那些正当执行大量操作的 Bot。
AlphaCloud 把这个模块叫做 Anti Nuke。它也能恢复被删除的频道和身份组，但有一个任何诚实的系统都应该告诉你的重要限制：**消息记录不会回来。**恢复的频道是空的。这是止损，不是备份。
按顺序该做什么
如果你今天只有二十分钟：
- 把验证等级调到高（2 分钟）
- 检查拥有管理员权限的身份组（10 分钟）
- 撤销旧的邀请链接（3 分钟）
- 开启 Discord AutoMod（5 分钟）
这样就能解决大部分问题。等你的服务器超过几百名成员，或者你已经被攻击过一次，第 5 到第 7 点就值得去做了。
最后一个和设置无关的建议：**备份你的服务器结构。**身份组、分类、频道。真出事的时候，这一个文件就是半小时和整个周末之间的差别。