Discord server của bạn đáng để bảo vệ. Nó chứa cộng đồng của bạn, các cuộc trò chuyện của bạn và nhiều năm các mối quan hệ - và một tài khoản admin bị xâm phạm duy nhất có thể xóa tất cả nó trong vài phút.
Năm 2026, các mối đe dọa quen thuộc nhưng nhanh hơn: raid (tham gia hàng loạt spam và làm hỏng các kênh), lũ lượt tài khoản vứt bỏ và bot, phishing nhắm vào nhân viên và tiếp quản tài khoản đầy đủ. Tin tốt là hầu hết các cuộc tấn công được ngăn chặn bởi các phòng thủ mà bạn có thể thiết lập trong một buổi chiều - và nhiều trong số chúng được tích hợp sẵn vào Discord mà không có chi phí.
Hướng dẫn này hướng dẫn toàn bộ ngăn xếp, từ các cài đặt gốc của Discord đến các công cụ miễn phí phù hợp, và thành thật về trường hợp duy nhất khi chuyên gia bảo mật chuyên dụng xứng đáng có vị trí của nó.
Bốn danh mục mối đe dọa
Trước khi bạn xây dựng các phòng thủ, hãy biết những gì bạn đang bảo vệ.
Raid và tấn công thành viên. Người dùng được phối hợp (thường là một cộng đồng thù địch) tham gia cùng một lúc và spam, đăng nội dung xúc phạm hoặc cố gắng dụ dỗ người điều hành. Discord lưu trữ khoảng 19 million server hoạt động và raid ảnh hưởng đến hàng nghìn cộng đồng mỗi tuần. Một cuộc raid có thể mất hàng giờ để dọn dẹp và làm tổn thương lòng tin của thành viên.
Lũ lượt tài khoản vứt bỏ và bot. Các tài khoản tự động hoặc mới tạo đổ vào để spam liên kết, đề cập tất cả mọi người hoặc leo thang quyền hạn. Vì nó tự động, khối lượng có thể làm choáng người điều hành con người trong vài giây.
Phishing và lừa đảo. Những kẻ tấn công mạo danh nhân viên, dụ dỗ Nitro giả hoặc đăng liên kết đánh cắp token tài khoản (token là truy cập tài khoản đầy đủ). Tài khoản nhân viên bị xâm phạm thường là bước đầu tiên hướng tới tiếp quản server.
Tiếp quản tài khoản admin. Nếu ai đó lấy được mật khẩu hoặc phiên của bạn, họ có thể xóa các kênh, cấm chủ sở hữu và xóa dữ liệu. Đây là kịch bản hạt nhân - và kịch bản mà lớp 2FA của bạn tồn tại để ngăn chặn.
Lớp 1: Mức xác minh gốc (nền tảng miễn phí của bạn)
Hệ thống xác minh tích hợp sẵn của Discord là phòng thủ rẻ nhất của bạn và chặn hầu hết các cuộc tấn công bình thường. Bạn không cần bot cho nó.
Năm mức, chính xác
- Mức 0 (Không có): bất cứ ai cũng có thể trò chuyện. Không có bảo vệ. Chỉ các server bạn bè riêng tư.
- Mức 1 (Thấp): tài khoản phải có email được xác minh. Ngăn chặn những người vứt bỏ lười nhất.
- Mức 2 (Trung bình): tài khoản phải được đăng ký trên Discord hơn 5 phút. Mặc định tốt cho hầu hết các server.
- Mức 3 (Cao): tài khoản phải là thành viên của server của bạn hơn 10 phút trước khi trò chuyện. Khoảng 10 phút giữ ngăn chặn hầu hết các cuộc raid cơ hội.
- Mức 4 (Cao nhất): tài khoản phải có số điện thoại được xác minh. Ma sát tối đa - nó lọc ra rất nhiều người thực sự, vì vậy hãy dành nó cho các tình huống tấn công hoạt động.
Cao hơn không phải lúc nào cũng tốt hơn
Mỗi mức tăng thêm ma sát cho những người mới hợp pháp cũng như những kẻ tấn công. Xác minh điện thoại (Mức 4) đặc biệt làm quay lưng rất nhiều người thực sự. Đặt mức thấp nhất ngăn chặn các cuộc tấn công bạn thực sự thấy và nâng nó tạm thời trong các sự cố.
Mở Thiết lập An toàn
Đi tới Cài đặt Server -> Thiết lập An toàn -> Mức Xác minh.
Chọn mức cho tình huống của bạn
Server mới hoặc nhỏ: Mức 2 (Trung bình). 1.000+ thành viên: Mức 2 hoặc 3. Mục tiêu raid hoạt động: Mức 3 (Cao) - khoảng 10 phút giữ ngăn chặn hầu hết các cuộc raid. Trong cuộc tấn công hoạt động: Mức 4 (Cao nhất) tạm thời, sau đó hạ xuống khi nó ổn định.
Kết hợp nó với các lớp tiếp theo
Xác minh một mình là một tốc độ va chạm, không phải một bức tường. Kết hợp nó với Kiểm tra Quy tắc và AutoMod dưới đây.
Lớp 2: Kiểm tra Quy tắc (cổng trước khi trò chuyện)
Riêng biệt với mức xác minh, Kiểm tra Quy tắc của Discord (Kiểm tra Thành viên) làm cho mỗi thành viên mới rõ ràng đồng ý với quy tắc của bạn trước khi họ có thể gửi tin nhắn, phản ứng hoặc DM các thành viên khác. Nó có sẵn trên các server được bật Cộng đồng và là một trong những công cụ chống spam miễn phí hiệu quả nhất mà Discord cung cấp.
Thiết lập nó trong Cài đặt Server -> Thiết lập An toàn -> Kiểm tra Quy tắc. Viết một bộ quy tắc ngắn, rõ ràng và yêu cầu chấp nhận. Bước duy nhất này ngăn chặn những người spam lướt qua sẽ không tạm dừng để nhấp "Tôi đồng ý" và nó cung cấp cho bạn một bản ghi sạch sẽ rằng mỗi thành viên đã chấp nhận các điều khoản của bạn.
Kiểm tra Quy tắc là gốc và miễn phí - không cần bot.
Lớp 3: AutoMod và bộ lọc từ khóa
AutoMod tích hợp sẵn của Discord chạy 24/7 mà không có con người trong vòng lặp. Cấu hình nó trong Cài đặt Server -> AutoMod. Một lần nữa, đây là gốc và không cần bot.
- Spam và lũ lượt đề cập. Chặn tin nhắn có quá nhiều đề cập và nội dung lặp lại. Hành động: timeout (bắt đầu từ 10 phút trong khi bạn điều chỉnh, sau đó mở rộng). Tự động bắt lũ lượt bot và spam @everyone.
- Liên kết và lời mời. Chặn liên kết mời và các mẫu liên kết rủi ro ngoại trừ từ các vai trò đáng tin cậy. Phishing thường đến dưới dạng liên kết và lời mời không được yêu cầu là cách raid lan truyền.
- Bộ lọc từ khóa. Duy trì danh sách chặn cụ thể của server (lời chửi rủa, các điều khoản qu騷rối, các miền lừa đảo đã biết). Hành động: xóa và báo cáo cho kênh mod. Thêm các cụm từ mới khi bạn phát hiện chúng trong các sự cố.
Bắt đầu với danh sách cài đặt trước được đề xuất của Discord, sau đó xếp chồng các điều khoản của riêng bạn theo thời gian. Xem lại các báo cáo kênh mod hàng tuần để bộ lọc theo kịp các mẫu mới.
Lớp 4: Bot để tự động hóa chống raid
Các công cụ gốc xuất sắc ở các quy tắc và mẫu, nhưng chúng không thể làm một điều quan trọng: phản ứng tức thì với tăng đột biến tham gia và khóa cửa trong khi nó xảy ra. Đó là nơi bot kiếm được vị trí của nó - nó thêm kiểm tra người mới chống raid, gating tuổi tài khoản, giới hạn tỷ lệ tham gia và ghi nhật ký thống nhất trên những gì Discord cung cấp cho bạn.
Đối với phần lớn các server, lựa chọn đúng ở đây là một bot all-in-one có khả năng thay vì một ngăn xếp các bot có mục đích duy nhất. Rally Bot là all-in-one mà chúng tôi khuyên bạn nên bắt đầu.
Rally Bot - miễn phí, all-in-one, một bảng điều khiển
Rally Bot là một nền tảng điều hành và cộng đồng hoàn chỉnh trong một lần cài đặt duy nhất, được cấu hình hoàn toàn từ một bảng điều khiển web sạch sẽ. Không có cấp độ cao cấp và không có gating tính năng - công cụ bảo mật không bị khóa sau tường paywall. Để bảo vệ server, nó cung cấp cho bạn:
- Kiểm tra người mới chống raid - gating tuổi tài khoản và gating xác minh giữ hoặc từ chối các tài khoản mới đáng ngờ, cộng với giới hạn tỷ lệ tham gia tự động tạm dừng tham gia khi chúng tăng đột biến, vì vậy một cuộc raid được phối hợp đánh vào một cửa đóng thay vì các kênh của bạn.
- Điều hành và automod - spam, liên kết và lọc từ, vai trò người điều hành phân cấp với quyền hạn của riêng họ, cảnh báo, timeout, kick, ban và ghi nhật ký kiểm toán đầy đủ - tất cả ở cùng một nơi với các cài đặt xác minh và kiểm tra của bạn.
Vì mọi thứ nằm trong một bảng điều khiển, tư thế bảo mật xác minh, bộ lọc và phản ứng raid của bạn không bị phân tán trên bốn bot khác nhau với bốn lần đăng nhập khác nhau.
Tại sao nó miễn phí và tại sao nó vẫn miễn phí
Rally kiếm tiền thông qua khám phá server, không phải bằng cách đặt các tính năng sau tường paywall. Cài đặt Rally Bot liệt kê server của bạn trên nền tảng khám phá của Rally, nơi các cộng đồng được xếp hạng theo hoạt động thực tế thay vì số lần va chạm - vì vậy một server hoạt động, được quản lý tốt tiếp tục xuất hiện cho các thành viên mới thực sự. Không có lý do kinh doanh nào để bao giờ tính phí cho các công cụ điều hành hoặc chống raid, đó chính xác là lý do tại sao chúng vẫn miễn phí.
Thêm Rally Bot vào server của bạn - miễn phí, không cần thẻ tín dụng, không có tính năng bảo mật bị khóa.
Nếu bạn muốn xem sâu hơn về cách bộ công cụ điều hành so sánh với các bộ cổ điển, hướng dẫn bot điều hành Discord tốt nhất chia nhỏ nó từng tính năng.
Khi bạn thực sự cần một chuyên gia bảo mật
Hãy rõ ràng về điều này: đối với hầu hết các cộng đồng, lớp chống raid của bot all-in-one cộng với các công cụ gốc của Discord là hơn đủ. Nhưng một tập hợp nhỏ các server - lớn, nổi tiếng hoặc liên tục bị nhắm mục tiêu để nuke (xóa kênh hàng loạt, cấm hàng loạt, xóa vai trò bởi admin bị xâm phạm hoặc độc hại) - cần một chuyên gia phòng thủ chống nuke chuyên dụng.
Đó là những gì Wick được xây dựng. Nó tập trung hẹp vào phòng thủ chống nuke và raid: giới hạn bao nhiêu hành động phá hủy bất kỳ tài khoản nào (thậm chí là admin) có thể thực hiện trong một cửa sổ, tự động cách ly các tài khoản kích hoạt các giới hạn đó và khôi phục lại thiệt hại. Đó là một lựa chọn hợp pháp, được xây dựng cho mục đích cho công việc đó.
Hai cái không loại trừ lẫn nhau. Bạn có thể chạy Rally Bot để điều hành hàng ngày, tham gia và kiểm tra người mới chống raid, và Wick song song với nó để bảo vệ chống nuke cứng rắn. Nếu bạn đang cân nhắc một chuyên gia bảo mật so với một all-in-one, hướng dẫn thay thế Wick bao gồm nơi mỗi cái phù hợp.
Quy tắc của một (với một ngoại lệ)
Mỗi bot bổ sung nhân lên xung đột quyền hạn và điểm thất bại, vì vậy hãy bắt đầu với một all-in-one và chỉ thêm một cái cho một khoảng trống thực tế, cụ thể. Chống nuke chuyên dụng là một trong những khoảng trống ít nhất biện minh cho một bot thứ hai - mọi thứ khác, một all-in-one hoàn chỉnh đã bao gồm.
Lớp 5: Bảo mật tài khoản admin (lớp quan trọng nhất)
Tài khoản admin bị xâm phạm đánh bại mọi phòng thủ khác. Không có mức xác minh hoặc bot nào ngăn chặn ai đó đăng nhập với tư cách là bạn. Khóa chặt điều này trước tiên.
Bật xác thực hai yếu tố
Đi tới Cài đặt Người dùng -> Tài khoản của tôi -> Bật Xác thực Hai Yếu tố. Sử dụng ứng dụng xác thực, không phải SMS nếu bạn có thể tránh nó.
Lưu mã khôi phục của bạn
Lưu trữ mã sao lưu trong trình quản lý mật khẩu (Bitwarden, 1Password, KeePass) - không bao giờ trong một ghi chú đơn giản hoặc tin nhắn Discord.
Yêu cầu 2FA cho các hành động điều hành
Trong Cài đặt Server -> Thiết lập An toàn, bật Yêu cầu 2FA cho các hành động điều hành. Bây giờ không có người điều hành nào có thể kick, ban hoặc xóa mà không có 2FA trên tài khoản của riêng họ. Chỉ chủ sở hữu có thể chuyển đổi điều này và chủ sở hữu phải có 2FA được bật để làm điều đó.
Bảo mật đường dẫn khôi phục
Email tài khoản Discord của bạn là cửa sau - nếu kẻ tấn công chiếm hộp thư của bạn, họ có thể đặt lại mật khẩu Discord của bạn. Đặt 2FA và mật khẩu duy nhất trên email đó quá.
Không bao giờ để lộ token của bạn. Token Discord là chìa khóa chính cho tài khoản của bạn. Không bao giờ dán nó vào trang web, "xác minh," kho GitHub hoặc DM và không bao giờ nhấp vào liên kết tuyên bố tiết lộ nó. Nếu bạn nghi ngờ rò rỉ token, hãy thay đổi mật khẩu của bạn ngay lập tức (điều này xoay token), sau đó xem lại và đăng xuất khỏi các phiên hoạt động không xác định trong Cài đặt -> Phiên Hoạt động.
Lớp này một mình chặn phần lớn các tiếp quản tài khoản.
Lớp 6: Vệ sinh quyền hạn và phân cấp vai trò
Các giới hạn cấu trúc làm cho thiệt hại khó khăn hơn ngay cả khi tài khoản bị xâm phạm.
- Vai trò Admin ở đầu danh sách - chủ sở hữu cộng với một hoặc hai cộng tác viên đáng tin cậy sâu sắc. Không bao giờ trao quyền Administrator một cách bất cẩn.
- Vai trò Người điều hành có thể xóa tin nhắn, timeout, tắt tiếng và kick, nhưng không thể xóa kênh hoặc quản lý vai trò.
- Vai trò Đáng tin cậy/trợ giúp được phạm vi cho các kênh cụ thể thay vì quyền lực toàn server.
- @everyone bị tước các quyền hạn nguy hiểm: Quản lý Kênh, Quản lý Vai trò, Quản lý Server, Cấm Thành viên, Kick Thành viên.
Khóa chặt các kênh quan trọng của bạn quá: trong #rules và #announcements, từ chối Gửi Tin nhắn cho @everyone và cho phép nó chỉ cho nhân viên. Giữ một kênh #staff riêng tư (hiển thị cho người điều hành và lên) để phối hợp sự cố, vì vậy khi hỗn loạn xảy ra, đội của bạn có một nơi sạch sẽ để tập hợp lại.
Nguyên tắc là đặc quyền tối thiểu: mỗi vai trò nhận được chính xác quyền lực nó cần và không gì hơn. Tài khoản người điều hành bị hack không thể xóa kênh hoặc cấm thành viên chỉ có thể gây thiệt hại hạn chế.
Lớp 7: Sao lưu và khôi phục
Discord không có nút "sao lưu server đầy đủ" gốc, vì vậy mục tiêu thực tế là có thể xây dựng lại nhanh chóng và giữ những gì quan trọng ngoài nền tảng.
- Lưu mẫu server. Trong Cài đặt Server -> Mẫu Server, tạo mẫu nắm bắt cấu trúc kênh, danh mục, vai trò và ghi đè quyền hạn của bạn. Giữ liên kết ở nơi an toàn và tạo lại nó sau các thay đổi cấu trúc lớn. Nó sẽ không khôi phục tin nhắn, nhưng nó xây dựng lại bộ xương của bạn trong một lần nhấp.
- Ghi lại thiết lập của bạn. Giữ ghi chú ngoài nền tảng (hoặc tài liệu