Auditoría de seguridad para servidores de Discord: 12 controles

Los 12 controles en una sola tabla

Este tema en VeyroBot:Bot anti-nuke para Discord →

1–4: Ajustes que afectan a cualquiera que entre al servidor

1. Permisos de @everyone. Este rol lo tiene todo el mundo en el servidor. Si alguno de los permisos de Administrador, Gestionar servidor, Gestionar roles, Gestionar canales, Expulsar miembros, Banear miembros o Gestionar webhooks está activado aquí, cualquier cuenta recién unida podrá usarlo. Estos permisos deben estar desactivados en el rol @everyone. También se recomienda desactivar el permiso Mencionar a @everyone.

2. Nivel de verificación. En el nivel "Ninguno", incluso una cuenta cuyo correo no esté verificado puede escribir de inmediato. El nivel "Medium" exige que la cuenta se haya registrado en Discord hace al menos 5 minutos y frena a la mayoría de las cuentas de spam efímeras. Para servidores grandes y públicos, "Alto" es más adecuado.

3. Verificación en dos pasos obligatoria para la moderación. Con este ajuste activado, una cuenta sin verificación en dos pasos no puede realizar acciones de moderación como expulsar, banear o borrar mensajes. Incluso si roban la contraseña de un miembro del personal, estas acciones se bloquean a menos que el atacante supere el segundo paso. Solo el dueño del servidor puede cambiar este ajuste, y el propio dueño también debe tener activada la verificación en dos pasos en su cuenta.

4. Filtro de contenido explícito. Discord escanea automáticamente las imágenes inapropiadas con este filtro. Que esté desactivado no constituye por sí solo una brecha de seguridad, pero se recomienda mantenerlo activo por la seguridad de la comunidad.

5–8: Quién tiene el poder en sus manos

5. Número de administradores. El permiso de Administrador se salta todos los demás permisos y restricciones de canales. La mayoría de los moderadores no necesitan este permiso; por lo general, Expulsar miembros, Banear miembros, Tiempo fuera a miembros y Gestionar mensajes son suficientes. Cualquiera con permisos de Administrador puede borrar el servidor por sí solo si su cuenta se ve comprometida.

6. Permiso de Administrador en los bots. Si se filtra la clave (token) de un bot, un atacante tendrá los mismos permisos que tenga permitidos dicho bot. Retira del servidor los bots que ya no utilices. Evalúa si realmente es necesario en los bots que sí usas; lo analizamos en detalle en este artículo.

7. Orden de los roles. En Discord, un rol solo puede gestionar los roles y miembros que estén por debajo del suyo. Si el rol de un bot de protección está por debajo de los roles del personal, no podrá aplicar acciones contra ellos. Coloca el rol del bot de protección por encima de los roles de moderación y por debajo de tu rol de administrador.

8. Webhooks. Un webhook es una dirección capaz de enviar mensajes a un canal sin necesidad de una cuenta. Quien consiga su dirección podrá escribir lo que quiera en ese canal. Revisa en la pantalla de integraciones qué webhook hay en cada canal y borra los que no reconozcas.

9–12: ¿Te enterarás si algo sucede?

9. Canal de registro de moderación. Quién baneó a quién, qué advertencia se emitió, qué protección se activó: para poder ver esto más tarde, necesitas un canal de registros que solo los administradores puedan ver. Discord también cuenta con su propio registro de auditoría, pero no envía notificaciones; tienes que saber buscar ahí.

10. Reglas de spam y enlaces de invitación. El AutoMod integrado de Discord puede bloquear palabras clave y el spam de menciones. El AutoMod de los bots también detecta mensajes repetidos y enlaces de invitación. Uses el que uses, asegúrate de activar al menos las reglas contra el spam y los enlaces de invitación. No actives la misma regla en dos herramientas a la vez, ya que se aplicarían dos castigos por el mismo mensaje.

11. Ingresos masivos. Un raid ocurre cuando una gran cantidad de cuentas entra al servidor en poco tiempo para inundar los canales. Contra esto se necesita una protección que supervise el número de incorporaciones en un lapso breve; los pasos de configuración están en la guía de anti-raid.

12. Protección contra cuentas de administradores. El nuke no viene de fuera, sino de dentro: se compromete la cuenta de un administrador y los canales y roles se borran en cuestión de minutos. Contra esto debe haber una protección que detenga a cualquier cuenta que realice un volumen elevado de acciones destructivas en poco tiempo, además de una forma de restaurar lo borrado. Sin esto, tendrías que volver a crear los canales y roles a mano y de memoria.

Cuáles de estos controles realiza VeyroBot por sí mismo

La Puntuación de Salud del Servidor en el panel de VeyroBot realiza automáticamente 9 controles de esta lista: permisos de @everyone, nivel de verificación, 2FA para moderación, filtro de contenido explícito, otros bots con permisos de Administrador, canal de registros, AutoMod, anti-raid y Protección de Administradores. El propio VeyroBot también solicita el permiso de Administrador; esto se muestra claramente en una línea de información independiente que no afecta a la puntuación.

Debes realizar tres controles de forma manual: cuántas personas son administradoras (5), el orden de los roles (7) y los webhooks (8). El orden de los roles solo se comprueba en lo referente a los roles automáticos y de recompensas por nivel.

Para los elementos que se encuentren faltantes, la tarjeta incluye una sección de "Configuración de seguridad recomendada". Solo se listan aquellos puntos que realmente falten en ese servidor en concreto; tú eliges cuáles aplicar. Cada cambio aplicado se registra y se puede deshacer con un solo clic en un plazo de 24 horas. Esta acción requiere que seas el dueño o Administrador del servidor en Discord; no basta con acceder al panel mediante un rol.

Fuera de esta lista: la seguridad de la cuenta del dueño

Adecuado para: administradores que crearon su servidor pero nunca revisaron los ajustes de seguridad, comunidades cuyo equipo de moderación está creciendo y quienes desean comprender qué quedó expuesto tras sufrir un ataque.

No adecuado para: la seguridad de la propia cuenta del dueño del servidor. Si la cuenta del dueño se ve comprometida, ningún ajuste de servidor ni bot podrá detenerlo; la verificación en dos pasos en la cuenta del dueño y una contraseña segura están fuera de esta lista, pero van por delante de todo.

Preguntas frecuentes

¿Con qué frecuencia debo realizar estos controles?

Cada vez que añadas a un nuevo miembro del personal, incorpores un nuevo bot o modifiques la estructura de roles. Aparte de eso, basta con una breve revisión una vez al mes.

¿Subir el nivel de verificación bloquea a los miembros reales?

El nivel medio solo hace esperar a las cuentas de menos de 5 días; la mayoría de los miembros reales ni se percata. En el nivel alto, los recién llegados esperan 10 minutos, lo cual puede incomodar a algunos usuarios en servidores de crecimiento rápido.

Si activo el 2FA para la moderación, ¿mis moderadores no podrán realizar acciones?

Los moderadores que no tengan activada la verificación en dos pasos no podrán realizar acciones de moderación. Pide a tu equipo que active la verificación en dos pasos en sus cuentas antes de activarlo.

¿Dar Administrador a los bots siempre es un error?

No. El Administrador elimina fallos silenciosos derivados de la falta de permisos. Sin embargo, incrementa el riesgo para cada bot; limítalo a los bots en los que confíes y uses de forma activa.

¿El registro de auditoría de Discord no es suficiente?

El registro de auditoría muestra quién hizo qué, pero no detiene a nadie en el momento de los hechos ni envía notificaciones. El canal de registros y la protección garantizan que te enteres al instante y que el daño quede limitado.

Última actualización: 19 de septiembre de 2026. Los ajustes descritos se basan en la interfaz de Discord en dicha fecha; los nombres de los menús pueden cambiar con las actualizaciones de Discord. Para conocer el orden exacto de las capas de permisos, consulta la referencia del sistema de roles y permisos; para los controles de VeyroBot, consulta el artículo de Puntuación de Salud.