Rehber Minecraft Sunucu Güvenliği 2026 | Kapsamlı Rehber (DDoS, Anti-Exploit, Velocity, Anti-Cheat)

️ Minecraft Sunucu Güvenliği 2026 | Kapsamlı Rehber (DDoS, Anti-Exploit, Velocity, Anti-Cheat)​

TL;DR: Eğer sunucunun arkasında DDoS koruması, modern forwarding, anti-exploit plugin, anti-cheat, firewall ve güncel Paper sürümü yoksa — saldırıya açıksın demektir.​

Genişletmek için tıkla ...

İçindekiler​

1. 
   
2. Tehdit Manzarası: 2026'da Minecraft Sunucularını Bekleyen Saldırılar​
3. 
   
4. DDoS Koruması (TCPShield, Cloudflare Spectrum, NeoProtect)​
5. 
   
6. Velocity Proxy Güvenliği & Modern Forwarding​
7. 
   
8. Backend Server Hardening (Paper, server.properties, paper-global.yml)​
9. 
   
10. Anti-Exploit ve Anti-Crash Plugin'leri​
11. 
    
12. Anti-Cheat Sistemleri (Vulcan, GrimAC, Spartan, Polar)​
13. 
    
14. Firewall ve İşletim Sistemi Güvenliği (UFW, iptables, fail2ban, CrowdSec)​
15. 
    
16. Plugin Güvenliği ve CVE Takibi​
17. 
    
18. Anti-Bot Sistemleri ve Login Rate Limiting​
19. 
    
20. Backup Stratejisi ve Felaket Kurtarma​
21. 
    
22. Yetkili Hesap Güvenliği (2FA, IP whitelist, audit log)​
23. 
    
24. Bonus: MC4FUN'da Kullandığım Stack​

1. Tehdit Manzarası: 2026'da Minecraft Sunucularını Bekleyen Saldırılar​

Layer 4/7 DDoS Saldırıları​

• 
  
• UDP flood, SYN flood, ACK flood – ham bant genişliği saldırıları​
• 
  
• Minecraft Login Flood – bot orduları proxy'i login paketleriyle boğuyor​
• 
  
• Slow Loris (handshake) – yarım açık bağlantılarla soket havuzunu tüketme​
• 
  
• Botnet kiralama artık $5-20'a düşmüş durumda, küçük sunucular bile hedef​

Packet Exploit / Crash Client'leri​

• 
  
• Jessica, Jigsaw, Ayakashi, SmogClient, YSK, Meteor (custom builds)​
• 
  
• CustomPayload spam – server'ı RAM/CPU ile çökerten oversized paketler​
• 
  
• Invalid NBT (kitap, tabela, lectern) – worldü bozan veya thread freeze yapan paketler​
• 
  
• Invalid sign / book – chunk corruption​
• 
  
• Malformed creative items – item lore'u 32k karakter, NBT depth bombası​

Dupe Exploit'leri​

• 
  
• Bundle dupe (Meteor client metodu)​
• 
  
• Offline packet dupe (oyuncu disconnect anında auction house bug'ı)​
• 
  
• Inventory dupe (envanter açıkken blok kırma)​
• 
  
• Mule/horse dupe (unloaded entity envanteri)​
• 
  
• F-key dupe (vault swap exploit'i – MC4Vault'ta düzelttim)​

Velocity / BungeeCord Bypass​

• 
  
• Backend server 0.0.0.0 ile dinliyorsa, proxy'i bypass edip direkt offline-mode bağlantı atılabilir​
• 
  
• BungeeCord legacy forwarding IP-trust modeli – kim backend IP'yi bulursa istediği oyuncu gibi giriş yapar (admin dahil!)​
• 
  
• Modern forwarding olmadan = kimliğe bürünme açığı​

Plugin Açıkları (Supply Chain)​

• 
  
• Premium pluginlerin leaked/cracked sürümleri içine backdoor eklenmiş halde dağıtılıyor​
• 
  
• Log4Shell (CVE-2021-44228) hâlâ güncellenmemiş eski Paper buildlerinde aktif​
• 
  
• SQLi açığı olan kötü yazılmış plugin'ler – özellikle GUI shop/auction plugin'leri​
• 
  
• Pterodactyl panel CVE'leri​

Anti-Cheat Bypass'ları​

• 
  
• 2026'da Doomsday, Vape V4, Exalt gibi premium cheat client'leri çoğu free anticheat'i atlatabiliyor​
• 
  
• Reach + KillAura kombinasyonları packet-level yapıldığında basit movement check'leri tetiklemiyor​

2. ️ DDoS Koruması (Layer 4)​

TCPShield (En Popüler)​

• 
  
• 2015'ten beri 100.000+ network kullanıyor TCPShield, 2015'ten beri 100.000+ Minecraft network'üne hizmet veren ve düşük latency ile DDoS koruması sağlayan bir servistir​
• 
  
• OVH altyapısı kullanıyor, Türkiye için latency biraz yüksek (~50-80ms)​
• 
  
• Free plan mevcut (sınırlı)​
• 
  
• Proxy Protocol v2 ile real IP forward​
• 
  
• Backend whitelist zorunluğu olmalı (only-allow-proxy-connections=true)​

Cloudflare Spectrum​

• 
  
• 500 Tbps kapasite – piyasanın en büyüğü Cloudflare Spectrum, 500 Tbps kapasiteye sahip global ağı arkasında Minecraft sunucu trafiğini proxyleyerek her tür ve boyutta DDoS saldırısına karşı koruma sağlar​
• 
  
• Pro plan'dan itibaren mevcut (~$20/ay)​
• 
  
• Türkiye için İstanbul PoP sayesinde çok düşük latency​
• 
  
• Layer 4 reverse proxy​

NeoProtect / Papyrus​

• 
  
• Avrupa odaklı, Almanya/Hollanda PoP'ları Türkiye için harika​
• 
  
• Custom mitigation kuralları​
• 
  
• Daha küçük sunucular için TCPShield'a kıyasla daha cömert paketler​

Kritik: Backend IP'yi Asla Sızdırma!​

# UFW ile sadece proxy IP'sinden gelen 25565'i kabul et
sudo ufw default deny incoming
sudo ufw allow from <PROXY_IP_1> to any port 25565
sudo ufw allow from <PROXY_IP_2> to any port 25565
sudo ufw enable

3. Velocity Proxy Güvenliği & Modern Forwarding​

Neden Velocity?​

Modern Forwarding Nasıl Çalışır?​

Doğru Konfigürasyon​

bind = "0.0.0.0:25565"
online-mode = true
prevent-client-proxy-connections = true
player-info-forwarding-mode = "modern"
force-key-authentication = true

[advanced]
login-ratelimit = 3000
connection-timeout = 5000
read-timeout = 30000
haproxy-protocol = false  # TCPShield kullanıyorsan true
proxy-protocol = false
tcp-fast-open = true

proxies:
  velocity:
    enabled: true
    online-mode: true
    secret: "<forwarding.secret içeriğini buraya yapıştır>"

online-mode=false
server-ip=127.0.0.1
prevent-proxy-connections=false

Önemli Güvenlik Notu​

Forced Hosts & SRV Records​

Test: Bypass Açığı Var mı?​

4. Backend Server Hardening (Paper 1.21.x)​

paper-global.yml Önerilen Ayarlar​

unsupported-settings:
  allow-piston-duplication: false
  allow-headless-pistons: false
  allow-permanent-block-break-exploits: false
  
chunk-loading-advanced:
  auto-config-send-distance: true

misc:
  use-dimension-type-for-custom-spawners: true
  region-file-cache-size: 256
  load-permissions-yml-before-plugins: true
  max-joins-per-tick: 3   # Bot flood koruması!
  
spam-limiter:
  tab-spam-increment: 1
  tab-spam-limit: 500
  recipe-spam-increment: 1
  recipe-spam-limit: 20
  incoming-packet-threshold: 300

packet-limiter:
  all-packets:
    action: KICK
    interval: 7.0
    max-packet-rate: 500.0

paper-world-defaults.yml​

anticheat:
  anti-xray:
    enabled: true
    engine-mode: 2  # Hide ores with realistic fake ores
    update-radius: 2
    max-block-height: 64
    hidden-blocks:
      - ancient_debris
      - diamond_ore
      - deepslate_diamond_ore
      - emerald_ore
      - gold_ore
      - iron_ore
      - copper_ore
    replacement-blocks:
      - stone
      - deepslate
      - oak_planks

  obfuscation:
    items:
      hide-itemmeta: true
      hide-itemmeta-with-visual-effects: true

server.properties​

online-mode=false        # Sadece Velocity arkasında!
prevent-proxy-connections=false
enforce-secure-profile=true
enable-rcon=false        # ZORUNLU DEĞİLSE KAPALI!
network-compression-threshold=256
max-tick-time=60000
sync-chunk-writes=false

RCON: Açıksa Hardenle!​

enable-rcon=true
rcon.password=<32 karakter random>
rcon.port=25575
broadcast-rcon-to-ops=false

sudo ufw deny 25575
sudo ufw allow from 127.0.0.1 to any port 25575

5. Anti-Exploit ve Anti-Crash Plugin'leri​

ExploitFixer (Premium, Önerilen) ​

• 
  
• Packet Exploit Fix – Netty crasherlar (Jessica, SmogClient, YSK)​
• 
  
• CustomPayload spam – kitap data overload​
• 
  
• Crash command blacklist – /multiverse-core:mv ^(.*)+$ gibi regex bombası​
• 
  
• Sign/Lectern crasher – geçersiz tabela paketleri​
• 
  
• Creative item fix – hacked item NBT'lerini reconstructe ediyor​
• 
  
• Bundle dupe – Meteor client'in bundle dupe metodu​
• 
  
• Offline packet dupe​
• 
  
• Inventory dupe​
• 
  
• Mule/horse dupe​

Free Alternatifler​

• 
  
• AntiPopup – sign edit kapatma (offline mode)​
• 
  
• Skull Exploit Fix – kafa exploiti​
• 
  
• PacketEvents + custom listener (kendi anti-exploit'ini yazmak istersen)​

FlameCord (BungeeCord/Waterfall kullanıyorsan)​

Önemli: ProtocolLib Çakışması​

6. Anti-Cheat Sistemleri​

2026'da En İyi Anti-Cheat Seçenekleri​

Kritik: Vulcan + GrimAC Asla Birlikte!​

Kendi Anti-Cheat'ini Yazmak (Advanced)​

• 
  
• RotationSnap – yawhead/pitchhead anormallikleri​
• 
  
• AimRate – aim hızı dağılımı​
• 
  
• Reach – 4.5 max (1.9+ için 3.0)​
• 
  
• MultiAura – aynı tickte çoklu hedef​
• 
  
• AimDuplicateLook – 500ms/10-tick içinde aynı açı tekrarı (botlar için)​
• 
  
• ClientBrand – cheat client brand string detection​
• 
  
• BehavioralXray – istatistiksel xray detection​
• 
  
• AntiFreecam – Litematica/freecam mod detection​

7. Firewall ve İşletim Sistemi Güvenliği​

UFW Konfigürasyonu (Ubuntu/Debian)​

# Sıfırla
sudo ufw --force reset

# Default deny incoming
sudo ufw default deny incoming
sudo ufw default allow outgoing

# SSH (port'u 22'den değiştir!)
sudo ufw allow 2222/tcp comment 'SSH custom port'

# Velocity proxy port (sadece DDoS sağlayıcı IP'leri)
sudo ufw allow from <TCPSHIELD_IP> to any port 25565

# Backend portlar - SADECE LOCALHOST
# (server-ip=127.0.0.1 ayarladıysan UFW zaten yetiyor ama yine de ekle)
sudo ufw deny 25566:25600/tcp

# Web panel (varsa, sadece Cloudflare Tunnel üzerinden)
sudo ufw deny 8080/tcp

sudo ufw enable
sudo ufw status verbose

fail2ban (SSH Brute-Force Koruması)​

sudo apt install fail2ban
sudo nano /etc/fail2ban/jail.local

[sshd]
enabled = true
port = 2222
maxretry = 3
bantime = 86400
findtime = 600
ignoreip = 127.0.0.1/8 <senin_evden_IP>

CrowdSec (fail2ban'in modern alternatifi)​

curl -s https://install.crowdsec.net | sudo sh
sudo apt install crowdsec
sudo cscli collections install crowdsecurity/sshd
sudo cscli collections install crowdsecurity/linux

SSH Hardening​

Port 2222
PermitRootLogin no
PasswordAuthentication no   # Sadece SSH key!
PubkeyAuthentication yes
AllowUsers minecraft taner
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2

Cloudflare Tunnel (Web Panel İçin)​

8. Plugin Güvenliği ve CVE Takibi​

Plugin Seçim Kuralları​

1. 
   
2. ASLA leaked/cracked plugin kullanma – %90'ında backdoor var​
3. 
   
4. Son güncelleme tarihine bak – 6 aydan eskiyse şüpheli​
5. 
   
6. GitHub açık kaynak mı? – kapalı kaynak premium pluginlerde dev'in itibarına bak​
7. 
   
8. Yıldız sayısı + indirme oranı​
9. 
   
10. paper-plugin.yml mi, plugin.yml mi? – paper-plugin.yml = modern, daha güvenli class loading​
11. 
    
12. Folia uyumlu mu? – modern API kullanıyor demek​

Güvenilir Kaynaklar​

• 
  
• Hangar (PaperMC resmi) – hangar.papermc.io​
• Modrinth – open source, güvenilir​
• SpigotMC (premium pluginler için​
• BuiltByBit (eski MC-Market)​
• Bl*ck Spigot, L*aks Forum – KESİNLİKLE HAYIR​

Paper'ı Güncel Tut​

# Otomatik güncelleme scripti (cron ile haftalık)
#!/bin/bash
LATEST=$(curl -s https://api.papermc.io/v2/projects/paper/versions/1.21.11 | jq -r '.builds[-1]')
curl -o paper.jar "https://api.papermc.io/v2/projects/paper/versions/1.21.11/builds/${LATEST}/downloads/paper-1.21.11-${LATEST}.jar"

Plugin Audit​

• Kullanılmayan plugin'leri sil (her plugin = saldırı yüzeyi)​
• Versiyon kontrolü yap​
• Permission'ları audit et (luckperms editor)​

9. Anti-Bot Sistemleri ve Login Rate Limiting​

Velocity Side​

# velocity.toml
[advanced]
login-ratelimit = 3000  # ms cinsinden, IP başına
connection-timeout = 5000

Anti-Bot Plugin Önerileri​

• 
  
• AntiVPN – VPN/proxy IP'leri otomatik kick​
• 
  
• AntiBotDeluxe (Velocity) – CAPTCHA, login throttle​
• 
  
• EpicGuard – akıllı bot detection​
• 
  
• MC4IPLog (kendi yazdığım) – alt detection + GeoIP + Discord webhook​

Cloudflare Spectrum + Custom Rules​

• 
  
• IP başına 5 saniyede max 3 bağlantı​
• 
  
• Aynı /24 subnet'ten 60 saniyede max 20 bağlantı​

10. Backup Stratejisi ve Felaket Kurtarma​

3-2-1 Backup Kuralı​

• 
  
• 3 kopya: original + 2 backup​
• 
  
• 2 farklı medya: local disk + cloud​
• 
  
• 1 offsite: Hetzner Storage Box / Backblaze B2​

Otomatik Backup Scripti​

#!/bin/bash
# /home/minecraft/backup.sh
DATE=$(date +%Y%m%d_%H%M%S)
BACKUP_DIR="/home/minecraft/backups"
SERVER_DIR="/home/minecraft/servers"

# Sunucu dosyalarını yedekle (incremental ile rsync)
rsync -av --delete "$SERVER_DIR/" "$BACKUP_DIR/current/"

# Tarihli sıkıştırılmış arşiv
tar -czf "$BACKUP_DIR/snapshot_$DATE.tar.gz" -C "$BACKUP_DIR" current

# Hetzner Storage Box'a sync
rsync -av --delete "$BACKUP_DIR/" "u123456@u123456.your-storagebox.de:backups/"

# 7 günden eski local snapshot'ları sil
find "$BACKUP_DIR" -name "snapshot_*.tar.gz" -mtime +7 -delete

# Crontab
0 4 * * * /home/minecraft/backup.sh >> /var/log/mc-backup.log 2>&1

Plugin Side: MC4Backup gibi​

• 
  
• Her saat başı asenkron world snapshot​
• 
  
• Discord webhook ile başarı/hata bildirimi​
• 
  
• Sıcak yedek (server kapatmadan)​

Kritik: Backup'ı Test Et​

11. Yetkili Hesap Güvenliği​

Oyun İçi Güvenlik​

• 
  
• AuthMe / nLogin / FastLogin – offline mode'da şart, online mode'da bile 2FA için kullanılabilir​
• 
  
• Yetkili IP whitelist – her admin için izinli IP'ler tanımla​
• 
  
• 2FA: Authy / Google Authenticator entegrasyonu (Authy plugin)​

LuckPerms Hardening​

# Sadece sen ve güvendiğin 1-2 kişi:
parents:
  - owner
permissions:
  - "*": true

# Diğer adminler için minimal:
- "luckperms.editor": false  # Web editör kapalı!
- "minecraft.command.op": false
- "bukkit.command.reload": false

Audit Log​

• 
  
• CoreProtect – her aksiyonu logla (block break/place, container access, command)​
• 
  
• MC4WebPanel (kendi geliştirdiğim) – web üzerinden CoreProtect aramaları​
• 
  
• Discord webhook – kritik komutlar (op, deop, stop, pardon, whitelist off) için​

Kritik Komut Koruması​

blocked-from-everyone:
  - "/op"
  - "/deop"  
  - "/stop"
  - "/save-all"
  - "/whitelist off"
  - "/luckperms editor"

Discord Bot Tokenları​

• 
  
• Token'ı asla GitHub'a pushlama!​
• 
  
• .gitignore'a config.yml ekle​
• 
  
• Compromise olursa hemen Discord developer portal'dan reset​

12. Bonus: MC4FUN.NET'te Kullandığım Stack​

Donanım​

• 
  
• Hetzner dedicated: AMD Ryzen 9 7950X3D, 128GB DDR5, NVMe SSD​
• 
  
• Bant genişliği: 1 Gbit unmetered​

Yazılım​

• 
  
• OS: Ubuntu 24.04 LTS (hardened)​
• 
  
• JVM: Java 21 (GraalVM Community)​
• 
  
• Proxy: Velocity 3.5.x + modern forwarding​
• 
  
• Backend: Paper 1.21.11​
• 
  
• DDoS: Cloudflare Spectrum + UFW backend whitelist​
• 
  
• Web Panel: Cloudflare Tunnel (port forwarding YOK)​

Plugin Güvenlik Stack'i​

• 
  
• Anti-Cheat: MC4Anticheat (kendi geliştirdiğim, PacketEvents tabanlı)​
• 
  
• Anti-Exploit: ExploitFixer 3.6.x​
• 
  
• Anti-Bot: MC4IPLog (alt + VPN + GeoIP + Discord webhook)​
• 
  
• Audit: CoreProtect + MC4WebPanel​
• 
  
• Backup: MC4Backup + Hetzner Storage Box rsync​
• 
  
• Vault Protection: MC4Vault v2.2 (7-katmanlı anti-exploit, F-key dupe protection)​

OS Güvenliği​

• 
  
• fail2ban + CrowdSec​
• 
  
• UFW ile sıkı port kontrolü​
• 
  
• SSH key only, custom port​
• 
  
• Otomatik unattended-upgrades (security patches)​

Monitoring​

• 
  
• MC4Analytics (kendi yazdığım web panel) – join tracking, anomaly detection​
• 
  
• Discord webhook'lar – kritik event'ler için (op, server crash, attack detected)​
• 
  
• Prometheus + Grafana – sistem metrikleri​

Sonuç & Quick Checklist​

• 
  
• [ ] Paper güncel (son build)​
• 
  
• [ ] Velocity 3.5+ + modern forwarding​
• 
  
• [ ] Backend server-ip=127.0.0.1 veya UFW ile proxy IP whitelist​
• 
  
• [ ] DDoS koruması aktif (TCPShield/Cloudflare/NeoProtect)​
• 
  
• [ ] ExploitFixer veya muadili kurulu​
• 
  
• [ ] Anti-cheat aktif (Vulcan/GrimAC/Polar)​
• 
  
• [ ] UFW + fail2ban + CrowdSec​
• 
  
• [ ] SSH key-only, custom port, root login kapalı​
• 
  
• [ ] RCON kapalı veya 127.0.0.1'e bağlı​
• 
  
• [ ] Otomatik 3-2-1 backup​
• 
  
• [ ] LuckPerms minimal permission​
• 
  
• [ ] CoreProtect + Discord webhook audit​
• 
  
• [ ] Plugin'ler resmi kaynaklardan, leaked YOK​
• 
  
• [ ] anti-xray engine-mode 2 aktif​
• 
  
• [ ] Spam limiter + packet limiter ayarlı​

Sorular & Tartışma​

• ​
• Hangi anti-cheat'i kullanıyorsunuz?​
• ​
• DDoS koruması olarak hangi servisi tercih ediyorsunuz?​
• ​
• Yaşadığınız ilginç saldırı/exploit hikayeleri?​
• ​