Guía · 28 de julio de 2026 · 6 min de lectura

Asegurar un servidor de Discord: la checklist completa

Diez puntos, ordenados del más rentable al más técnico. Cuenta con una hora para repasarlos todos. Es la hora mejor invertida en la vida de un servidor: casi todas las catástrofes que vemos vienen de uno de estos diez puntos dejado de lado.

1. Los permisos del rol por defecto

El punto más rentable de todos, y el más descuidado. El rol @everyone tiene por defecto derechos que la inmensa mayoría de los miembros no necesita. Cuatro que hay que quitar de inmediato:

• Mencionar @everyone y @here — resérvalo al equipo, sin excepción.
• Adjuntar archivos — permítelo solo en los canales que lo necesiten.
• Insertar enlaces — ídem, y así se corta la vía de entrada del phishing.
• Crear invitación — resérvalo a los miembros verificados; así es como un servidor privado deja de serlo.

Comprueba también que ningún rol secundario devuelva discretamente esos derechos: en Discord, los permisos se suman.

2. Las cuentas con privilegios

Cada cuenta de administrador es una llave del servidor. Una llave se roba.

• Uno o dos administradores, no diez. El permiso Administrador esquiva todas las demás restricciones.
• Permisos precisos para los moderadores — expulsar, banear, gestionar mensajes. Nada más. Nadie necesita Administrador para moderar.
• Doble autenticación obligatoria para la moderación — la opción está en los ajustes de Discord, es gratuita y es el ajuste más rentable del servidor.
• Revisión trimestral — quita los derechos a los miembros inactivos. Una cuenta de moderador olvidada desde hace un año es una cuenta que nadie vigila.

3. Los bots instalados

Un bot comprometido es el primer vector de destrucción de un servidor de Discord, incluso por delante de la cuenta de administrador robada.

• Haz inventario. ¿Cuántos bots? ¿Cuáles siguen sirviendo? Quita el resto: cada uno es una puerta.
• Revisa sus permisos. Un bot de música no necesita gestionar roles. Muchos piden Administrador por comodidad de instalación: niégate.
• Colócalos abajo en la jerarquía, por debajo de tus roles de moderación.
• Desconfía de los bots poco conocidos encontrados en un directorio oscuro. La lista de permisos que piden es un buen indicador.

4. La llegada de los miembros

Filtrar en la puerta cuesta menos que limpiar dentro.

• Nivel de verificación de Discord en Medio como mínimo.
• Edad mínima de cuenta — siete días descartan la mayoría de las cuentas creadas para un ataque.
• Captcha a la entrada, con los roles otorgados después de validar, nunca antes.
• Mensajes privados bloqueados entre miembros del servidor: es el canal preferido de los estafadores.

Se detalla en la guía sobre captcha y verificación de los nuevos miembros.

5. El contenido publicado

Tres familias de amenazas llegan por los canales:

• Los enlaces — phishing, falso Nitro, falso soporte. Ver la guía sobre las estafas de Discord.
• Los archivos — token grabbers, infostealers. Ver la guía sobre los archivos maliciosos.
• Las imágenes — falsos sorteos y códigos QR trampa, que los filtros de texto no ven.

Añade el spam y la toxicidad, cubiertos por la moderación automática. Un servidor que solo filtra texto deja pasar dos tercios de lo que circula hoy.

6. Las entradas masivas

Un raid se caracteriza por su velocidad. Lo que hace falta tener:

• Detección del número de entradas en una ventana corta;
• Modo raid automático que bloquea la escritura y las nuevas entradas sin esperar a que un humano se despierte;
• Vuelta a la normalidad automática, para que un servidor no se quede bloqueado una semana por olvido;
• Alerta inmediata al equipo, en un canal dedicado.

7. La destrucción interna

El nuke es el ataque más costoso: viene de dentro, de una cuenta que ya tiene los derechos. Los permisos, por tanto, no protegen de nada — fueron concedidos.

• Recuento de acciones destructivas por autor en una ventana deslizante: borrados de canales y de roles, baneos en serie, creación de webhooks, escalada de permisos.
• Los bots deben vigilarse como los humanos. La mayoría de las protecciones los exime por principio: ese es justamente el punto ciego que explotan los ataques reales.
• Sanción gradual, retirando primero los roles — eso corta los permisos incluso cuando la expulsión falla por la jerarquía.
• Restauración automática de lo que se acaba de borrar.

8. El registro

Sin registros, investigar tras un incidente es imposible: no se sabe ni quién, ni cuándo, ni qué. El registro de auditoría nativo de Discord solo conserva noventa días y sigue siendo poco legible.

• Canal de registros privado, invisible para los miembros.
• Lo que hay que ver ahí: mensajes borrados y editados, entradas y salidas, cambios de roles y de permisos, sanciones, acciones de los bots.
• Incluidas las acciones del equipo. Un registro que exime a los moderadores no sirve de nada el día en que el problema viene de ellos — o de su cuenta robada.

9. El plan de recuperación

Punto desagradable pero necesario: Discord no ofrece ninguna copia de seguridad ni restauración de un servidor. Lo que se borra se pierde, y los mensajes no vuelven nunca.

• Anota la estructura del servidor en algún sitio fuera de Discord: canales, categorías, roles, permisos.
• Usa un bot que recree automáticamente lo que se acaba de borrar: es la única restauración realmente rápida.
• Prevé un canal de repliegue — un segundo servidor vacío, o una forma de contactar a los miembros fuera de Discord. Un servidor destruido sin canal de repliegue pierde su comunidad para siempre.
• Escribe el procedimiento de emergencia y ponlo al alcance del equipo: quién hace qué y en qué orden. Nadie improvisa bien a las tres de la madrugada.

10. El equipo humano

El último punto es el único que ninguna herramienta sustituye.

• Forma a los moderadores sobre las estafas habituales: son los primeros objetivos, porque su cuenta vale más.
• Regla absoluta: ningún miembro del equipo pide jamás una contraseña, un código o una captura de pantalla en privado. Dilo en público, con regularidad.
• Simula un incidente una vez: quién bloquea, quién comunica, quién banea. La primera crisis de verdad no debe ser el primer ensayo.
• No dependas de una sola persona. Si el propietario está ilocalizable y es el único que puede actuar, el servidor está bloqueado.

Resumen

Los puntos 1, 2, 4 y 8 se hacen enteramente dentro de Discord, sin ninguna herramienta externa. Los puntos 5, 6 y 7 exigen un bot: Discord no ofrece nada de origen para analizar un archivo, leer el texto de una imagen o contar las acciones destructivas de una cuenta.

OriusBot cubre los puntos 5 a 8 en su versión gratuita, con el análisis ejecutado en su propia infraestructura — ningún mensaje, archivo o imagen de tu servidor se transmite a un servicio de terceros. El comando /diagnostic comprueba de una vez qué puntos de esta checklist están realmente activos en tu servidor.

Preguntas frecuentes

¿Por dónde empezar?

Por los permisos del rol por defecto. Quitar el derecho a enviar enlaces y archivos, a mencionar a todo el mundo y a crear invitaciones lleva cinco minutos y elimina la mayoría de las molestias posibles.

¿Cuántos administradores?

Los menos posibles: cada cuenta de administrador es una llave que puede robarse. Uno o dos, con doble autenticación. Los moderadores no necesitan el permiso Administrador.

¿Hay que activar la 2FA para la moderación?

Sí. La opción existe en Discord y neutraliza el robo de contraseña de una cuenta con privilegios. Es el ajuste más rentable del servidor.

¿Cómo saber si mi servidor está protegido?

Comprobando que existe una respuesta para los cinco vectores: entradas masivas, destrucción interna, contenido peligroso, cuentas falsas, pérdida de trazabilidad.

¿Se puede restaurar un servidor destruido?

Discord no ofrece ninguna copia de seguridad. Los mensajes se pierden definitivamente; solo la estructura y los roles pueden recrearse, mediante un bot que los restaure o desde una exportación reciente.

Leer después : Proteger tu servidor de los raids, Anti-nuke: proteger tu servidor, Captcha y verificación.