Skydda en Discord-server mot raider: 7 inställningar som faktiskt hjälper

En raid går nästan alltid till på samma sätt. Mellan två och fem på natten ansluter femtio till trehundra nyskapade konton, postar samma meddelande i varje kanal, pingar @everyone och försvinner igen. När du vaknar är servern full av reklam för en kryptosajt och hälften av medlemmarna har stängt av aviseringarna.

Det irriterande är att de flesta av de här attackerna är billigt automatiserade och misslyckas mot väldigt enkla hinder. Om du driver en server som går att hitta offentligt, gå igenom följande sju punkter. De fyra första finns inbyggda i Discord och tar bara några minuter.

1. Höj verifieringsnivån

Det här är den enskilt mest effektiva inställningen, och den förbises hela tiden.

Under Serverinställningar, Moderering, Verifieringsnivå bestämmer du vad ett konto måste uppfylla innan det får skriva på din server. Nivåerna betyder:

Nivå	Krav
Låg	Verifierad e-postadress
Medel	Kontot har varit registrerat på Discord i minst 5 minuter
Hög	Medlem på din server i minst 10 minuter
Högsta	Verifierat telefonnummer

Medel är minimum för varje offentlig server. Hög är den punkt där de flesta automatiserade raider slutar fungera, eftersom angriparen skulle behöva parkera sina konton i tio minuter innan de kan göra något. Det lönar sig inte för dem.

Högsta låter lockande men stänger också ute många riktiga användare som inte vill ge sitt telefonnummer till en chattapp. Använd den bara medan du faktiskt är under attack.

2. Slå på Discords egen AutoMod

Discord har sedan en tid en inbyggd moderering som många serverägare aldrig har öppnat. Under Serverinställningar, AutoMod kan du med två klick slå på filter mot spamlänkar, massomnämnanden och ord som ofta missbrukas.

Det ersätter inte ett ordentligt filter, men det är gratis och finns direkt.

3. Rensa i vem som faktiskt har behörigheter

Det obehagligaste fallet är inte en raid utifrån utan ett konto inifrån som har kapats. Någon i ditt team går på en nätfiskelänk, angriparen har plötsligt administratörsbehörighet, och fyra minuter senare är alla kanaler borta.

Gå igenom din rollista en gång och fråga, för varje roll med Administratör, om den personen verkligen behöver det. I de allra flesta fall räcker de specifika behörigheterna:

• En supporter behöver Hantera meddelanden och Ge medlemmar timeout, inte Administratör.
• En evenemangsansvarig behöver Hantera kanaler i en kategori, inte på hela servern.
• En bot behöver sällan allt, även om dess inbjudan ber om allt.

Du bör också kräva tvåstegsverifiering för alla i teamet. Under Serverinställningar, Säkerhetsinställningar finns en brytare som blockerar modereringsåtgärder utan 2FA.

4. Begränsa inbjudningar

En raid behöver en inbjudningslänk. Om din länk har legat oförändrad i en serverlista i två år har den hamnat i en samling som betas av i tur och ordning.

För offentliga listor, skapa inbjudningar med utgångsdatum och användningsgräns i stället för att sprida en obegränsad länk. Under Serverinställningar, Inbjudningar ser du alla aktiva länkar och kan återkalla gamla.

5. Kräv en kontoålder

Här tar Discords inbyggda verktyg slut. Verifieringsnivån Medel kräver fem minuters kontoålder, vilket inte är något hinder för en seriös angripare. Den som skapar sina konton en vecka i förväg kommer ändå in.

En bot kan kontrollera när Discord-kontot skapades och automatiskt ta bort konton under en gräns. Sju dagar är ett bra standardvärde: det fångar nästan alla engångskonton men stoppar knappt riktiga nykomlingar.

En sak är viktig här: använd kick, inte ban. Ett kickat konto kan komma tillbaka när det är gammalt nog. En ban drabbar till slut någon som precis har skapat ett Discord-konto för att en kompis bjöd in dem.

I AlphaCloud är det här modulen Kontoålder, som du ställer in i webbpanelen med två fält.

6. Sätt verifiering framför servern

Principen: nya medlemmar ser exakt en kanal. Först när de gör något där får de en roll som öppnar resten.

Insatsen för dig är engångs:

1. Ta bort synligheten för alla kanaler utom verifieringskanalen från @everyone.
2. Skapa en roll som får se allt annat.
3. Låt en bot ge den rollen när någon trycker på en knapp.

En enkel knapp stoppar redan botar som bara skickar meddelanden. Om din server är medvetet utsatt är ett litet mattetal ett bättre val, eftersom det inte går att klicka sig förbi blint.

Bieffekten är trevlig: medlemslistan visar dig direkt vem som har gått igenom verifieringen och vem som inte har det.

7. En automatisk nödbroms

De sex första punkterna förhindrar det mesta. För resten behöver du något som reagerar snabbare än du.

Idén bakom är enkel: en enskild åtgärd är inte misstänkt, hastigheten är det. En raderad kanal är rutin. Tio raderade kanaler på tjugo sekunder, från ett konto som blev administratör i går, är en attack.

Ett anti nuke-system räknar sådana åtgärder, viktar dem och griper in när en gräns passeras. Det som är vettigt:

• Karantän i stället för ban för människor. Attacken stoppas direkt, men du kan ge tillbaka rollerna om det var ett falsklarm.
• En loggkanal, så att du på morgonen kan se vad som hände.
• En vitlista för din ledning och för botar som legitimt gör mycket.

AlphaCloud kallar den här modulen Anti Nuke. Den kan också återställa raderade kanaler och roller, men med en viktig begränsning som varje ärligt system bör berätta för dig: meddelandehistoriken kommer inte tillbaka. Återställda kanaler är tomma. Det här är skadebegränsning, inte en säkerhetskopia.

Vad du ska göra, i ordning

Om du bara har tjugo minuter i dag:

1. Verifieringsnivån till Hög (2 minuter)
2. Gå igenom roller med Administratör (10 minuter)
3. Återkalla gamla inbjudningslänkar (3 minuter)
4. Slå på Discord AutoMod (5 minuter)

Det täcker det mesta. Punkt 5 till 7 blir värda det när din server växer förbi några hundra medlemmar, eller om du redan har drabbats.

Och ett sista råd som inte har med inställningar att göra: säkerhetskopiera serverns struktur. Roller, kategorier, kanaler. Om det väl händer är den enda filen skillnaden mellan en halvtimme och en hel helg.