Como proteger um servidor do Discord contra raids: 7 configurações que realmente ajudam

Um raid quase sempre segue o mesmo roteiro. Entre duas e cinco da manhã, de cinquenta a trezentas contas recém-criadas entram, postam a mesma mensagem em todos os canais, marcam @everyone e somem. Quando você acorda, o servidor está cheio de propaganda de um site de criptomoedas e metade dos membros silenciou as notificações.

O chato é que a maioria desses ataques é automatizada de forma barata e falha diante de obstáculos muito simples. Se você administra um servidor que pode ser encontrado publicamente, siga os sete pontos abaixo. Os quatro primeiros já vêm no Discord e custam só alguns minutos.

1. Aumente o nível de verificação

Esta é a configuração mais eficaz de todas, e ela é esquecida o tempo todo.

Em Configurações do servidor, Moderação, Nível de verificação você decide o que uma conta precisa ter antes de poder postar no seu servidor. Os níveis significam:

Nível	Requisito
Baixo	E-mail verificado
Médio	Conta registrada no Discord há pelo menos 5 minutos
Alto	Membro do seu servidor há pelo menos 10 minutos
Mais alto	Número de telefone verificado

Médio é o mínimo para qualquer servidor público. Alto é o ponto em que a maioria dos raids automatizados deixa de funcionar, porque o atacante teria que deixar as contas paradas por dez minutos antes de poder fazer qualquer coisa. Isso não compensa para ele.

Mais alto parece tentador, mas também barra muitos usuários reais que não querem entregar o número de telefone a um app de chat. Use só enquanto estiver sob ataque de verdade.

2. Ative o AutoMod do próprio Discord

O Discord tem há algum tempo uma moderação integrada que muitos donos de servidor nunca abriram. Em Configurações do servidor, AutoMod você ativa em dois cliques filtros contra links de spam, menções em massa e palavras muito usadas para abuso.

Não substitui um filtro completo, mas é gratuito e está disponível na hora.

3. Organize quem realmente tem permissões

O caso mais desagradável não é um raid de fora, e sim uma conta de dentro que foi invadida. Alguém da sua equipe cai num link de phishing, o atacante de repente tem permissão de administrador, e quatro minutos depois todos os canais sumiram.

Revise sua lista de cargos uma vez e pergunte, para cada cargo com Administrador, se aquela pessoa realmente precisa disso. Na grande maioria dos casos, as permissões específicas bastam:

• Um suporte precisa de Gerenciar mensagens e Castigar membros, não de Administrador.
• Um organizador de eventos precisa de Gerenciar canais em uma categoria, não no servidor inteiro.
• Um bot raramente precisa de tudo, mesmo que o convite dele peça tudo.

Você também deve exigir autenticação em dois fatores de toda a equipe. Em Configurações do servidor, Configuração de segurança há uma opção que bloqueia ações de moderação sem 2FA.

4. Limite os convites

Um raid precisa de um link de convite. Se o seu link está há dois anos sem mudar numa lista de servidores, ele foi parar numa coleção que é usada em rodízio.

Para listas públicas, crie convites com data de expiração e limite de usos em vez de espalhar um link ilimitado. Em Configurações do servidor, Convites você vê todos os links ativos e pode revogar os antigos.

5. Exija uma idade mínima de conta

Aqui acabam as ferramentas nativas do Discord. O nível de verificação Médio exige cinco minutos de idade de conta, o que não é obstáculo para um atacante sério. Quem cria as contas com uma semana de antecedência passa do mesmo jeito.

Um bot pode verificar a data de criação da conta do Discord e remover automaticamente contas abaixo de um limite. Sete dias é um bom padrão: pega quase toda conta descartável, mas quase não barra novatos de verdade.

Uma coisa importa aqui: use expulsar, não banir. Uma conta expulsa pode voltar quando tiver idade suficiente. Um banimento acaba atingindo, cedo ou tarde, alguém que acabou de entrar no Discord porque um amigo convidou.

No AlphaCloud, isso é o módulo Idade da conta, que você configura no painel web com dois campos.

6. Coloque uma verificação na frente do servidor

O princípio: membros novos veem exatamente um canal. Só quando fazem algo ali recebem um cargo que libera o resto.

O esforço para você é único:

1. Tire a visibilidade de todos os canais, exceto o de verificação, do @everyone.
2. Crie um cargo que pode ver todo o resto.
3. Faça um bot dar esse cargo ao apertar um botão.

Um botão simples já para bots que só enviam mensagens. Se o seu servidor é alvo deliberado, uma pequena conta de matemática é a melhor escolha, porque não dá para passar clicando às cegas.

O efeito colateral é agradável: a lista de membros mostra na hora quem passou pela verificação e quem não passou.

7. Um freio de emergência automático

Os seis primeiros pontos evitam a maior parte. Para o resto, você precisa de algo que reaja mais rápido do que você.

A ideia é simples: uma ação isolada não é suspeita, a velocidade dela é. Um canal apagado é rotina. Dez canais apagados em vinte segundos, por uma conta que virou administradora ontem, é um ataque.

Um sistema anti nuke conta essas ações, dá um peso a elas e intervém quando um limite é ultrapassado. O que faz sentido:

• Quarentena em vez de banimento para pessoas. O ataque para na hora, mas você pode devolver os cargos se tiver sido um alarme falso.
• Um canal de logs, para ver de manhã o que aconteceu.
• Uma lista branca para a sua liderança e para bots que legitimamente fazem muita coisa.

O AlphaCloud chama esse módulo de Anti Nuke. Ele também consegue restaurar canais e cargos apagados, mas com uma limitação importante que todo sistema honesto deveria te contar: o histórico de mensagens não volta. Os canais restaurados ficam vazios. Isso é controle de danos, não backup.

O que fazer, em ordem

Se você só tem vinte minutos hoje:

1. Nível de verificação em Alto (2 minutos)
2. Revisar cargos com Administrador (10 minutos)
3. Revogar links de convite antigos (3 minutos)
4. Ativar o AutoMod do Discord (5 minutos)

Isso resolve a maior parte. Os pontos 5 a 7 passam a valer a pena quando o servidor passa de algumas centenas de membros, ou se você já foi atingido.

E um último conselho que não tem nada a ver com configurações: faça backup da estrutura do seu servidor. Cargos, categorias, canais. Se acontecer, esse único arquivo é a diferença entre meia hora e um fim de semana inteiro.