Proteger o teu VPS e a tua conta: o imprescindível

A maioria dos VPS comprometidos não cai por um ataque sofisticado, mas sim por uma palavra-passe fraca, uma porta aberta que não fazia falta ou um script descarregado de onde não devia. Isto é o que importa mesmo.

A tua conta do painel

• Ativa o segundo fator. Em Conta → Segurança, carrega em Ativar autenticação de dois fatores (2FA), lê o código QR com uma aplicação como o Google Authenticator ou o Authy e escreve o código que te der. Assim, ainda que alguém consiga a tua palavra-passe, não consegue entrar.
• Revê as sessões abertas nessa mesma página e termina as que não reconheças.
• Vê de vez em quando a tua atividade da conta.
• Não dês a tua palavra-passe a ninguém. Se outra pessoa tiver de gerir o teu VPS, partilha-o a partir do painel.

O servidor

• Palavra-passe longa e única, que não uses em mais nenhum sítio. Em Linux, melhor ainda: entra com chave SSH e acrescenta o Fail2ban.
• No Windows, protege o Ambiente de Trabalho Remoto e deixa instalar as atualizações.
• No Linux, atualiza com frequência com apt update && apt upgrade.
• Abre só as portas que usas. Nunca exponhas à Internet bases de dados (3306), painéis de administração como o txAdmin (40120), consolas telnet nem painéis web de jogos.
• Não corras tudo como administrador. Nos nossos guias, os servidores de jogos correm com um utilizador próprio: se um plugin tiver uma falha, o estrago fica por aí.
• Descarrega scripts, mods e plugins só de fontes de confiança. Os «leaks» de recursos pagos, sobretudo no FiveM, trazem muitas vezes portas das traseiras que dão o controlo do teu servidor a outra pessoa.
• Faz cópias de segurança, e pelo menos uma fora do VPS.

Se achares que te entraram

1. Muda a palavra-passe da tua conta, ativa o segundo fator e termina as sessões que não sejam tuas.
2. Muda a palavra-passe do servidor a partir do painel.
3. Vê se há utilizadores que não criaste: no Windows, com net user; no Linux, em /etc/passwd e nos ~/.ssh/authorized_keys.
4. Se não tiveres a certeza de ter limpado tudo, o mais seguro é guardar os teus dados e reinstalar o sistema. Revê bem esses dados antes de os voltares a enviar: se o problema vinha de um script, voltaria com ele.
5. Abre-nos um ticket se precisares de ajuda.