Detecciones

Modo y peso por defecto (todo se cambia en ServerConfig.Detections o en vivo desde Configuración). "Servidor" significa que lo comprueba tu servidor con datos que el cliente no puede falsear fácilmente.

Detección	Qué detecta	Origen	Confianza	Modo
`teleport`	Teletransporte	servidor	media	log
`noclip`	Volar a pie: el jugador sube 20 m en pocos segundos sin vehículo (noclip, menús de vuelo, superjump)	servidor	media	log
`speed`	Velocidad imposible	servidor	media	log
`health`, `armor`	Vida o blindaje por encima del límite	servidor	media	log
`blacklisted_vehicle`, `blacklisted_ped`, `blacklisted_object`	Entidades prohibidas	servidor	media	log
`mass_entities`	Creación masiva de entidades	servidor	media	log
`cheat_vehicle`	Vehículo creado por un jugador con la matrícula por defecto de un menú de trampas (`Signatures.CheatPlates`, por ejemplo `SPACE`)	servidor	media	log
`blacklisted_explosion`, `explosion_spam`	Explosiones prohibidas o en ráfaga	servidor	media	log
`silent_explosion`	Explosión invisible o silenciosa	servidor	alta	log
`ptfx_spam`, `fire_spam`, `projectile_spam`	Ráfagas de partículas, fuego o proyectiles	servidor	baja	log
`projectile_for_others`	Proyectil disparado en nombre de otro jugador	servidor	media	log
`weapon_to_others`	Armas dadas o quitadas a otro jugador	servidor	alta	warn
`clear_tasks_others`	Tareas borradas a otro jugador (sacarle del coche, congelarle)	servidor	media	warn
`task_on_player`	Tarea forzada sobre otro jugador	servidor	media	log
`damage_modifier`, `rapid_fire`, `hit_distance`, `melee_reach`	Daño, cadencia, distancia o alcance imposibles para el arma	servidor	media	log
`blacklisted_weapon`	Arma prohibida	servidor	media	log
`aim_heuristic`	Patrón de puntería	cliente	baja	log
`honeypot`	Evento trampa que solo dispara un menú de trampas	servidor	alta	warn
`event_spam`	El mismo evento de un recurso común (`EventWatch.Events`: facturas, sociedades, esposar, revivir, dar objetos...) más de 10 veces en 2 s	servidor	media	log
`client_stopped`	Guardian deja de responder en el cliente mientras el jugador sigue moviéndose: algo lo ha congelado en su PC (los menús tienen botones para congelar recursos)	servidor	baja	log
`event_flood`, `event_spoof`, `heartbeat_lost`	Saturación o falsificación de eventos, anticheat detenido	servidor	baja/media	log
`client_*`	Señales del cliente: invisible, visión, cámara libre, flotando en el aire (noclip), velocidad a pie, modificador de daño, código inyectado, recursos desconocidos, DevTools	cliente	baja	log
`client_cheat_signature`	Señal del cliente con la firma exacta de un menú conocido: sus eventos internos o el nombre que da al recurso que secuestra	cliente	media	log

Menús de trampas analizados

Las firmas de shared/signatures.lua salen de menús reales analizados sin ejecutarlos. El más completo (ejecutor "WVFX" / "Space") funciona así, y así lo ve Guardian:

Se inyecta en el proceso de FiveM y ejecuta Lua dentro de otro recurso: renombra en memoria monitor (txAdmin) a space, o usa chat o spawnmanager. Lo que crea parece creado por ese recurso. Guardian lo ve por el nombre space en la lista de recursos del cliente, por sus eventos internos (client_cheat_signature) y, en el servidor, por lo que hace: entidades (mass_entities, cheat_vehicle), explosiones, teletransporte, vuelo (noclip), tareas y armas sobre otros.
Busca anticheats por el nombre del recurso (también guardian) y puede congelarlos en el PC del tramposo. Por eso las detecciones de verdad están en el servidor, y un Guardian congelado se nota (client_stopped).
Dispara en bucle eventos de recursos ESX conocidos con argumentos basura (facturas, sociedades, revivir, esposar, licencias). Guardian los cuenta (event_spam), pero la defensa real es que esos recursos validen en el servidor quién puede hacer qué.
Si ve en la lista de jugadores a alguien llamado "admin", "staff", "mod", "helper", "owner" o "support", lo manda todo a la coordenada 0,0,0 para esconderse: eso es un teletransporte (teleport).
Puede leer y reemplazar los scripts de cliente de cualquier recurso. Nunca pongas claves ni lógica de confianza en archivos de cliente.

Endurecimiento opcional: `sv_entityLockdown`

FiveM puede impedir que los clientes creen entidades en red. set sv_entityLockdown relaxed en server.cfg bloquea las entidades creadas por scripts de cliente (las que crean los menús con CreateVehicle o CreateObject) y deja el tráfico y los peatones del juego; strict bloquea todas las que crean los clientes. Guardian no lo activa porque rompe cualquier recurso tuyo que cree vehículos u objetos desde el cliente (muchos garajes, concesionarios y scripts de props lo hacen). Actívalo solo si todos tus recursos crean sus entidades en el servidor, y pruébalo antes en un servidor de pruebas.