AuthSecured

AuthSecured - плагин и серверный мод, который закрывает самую больную тему любого публичного Майнкрафт-сервера: чужой человек зашёл под твоим ником и вынес весь сундук. Если сервер работает в offline-mode (пиратский вход, лицензия не проверяется), то по умолчанию вообще любой может набрать твой ник в лаунчере и оказаться на твоём персонаже. AuthSecured ставит на это бетонную стену: регистрация, вход по паролю, смена пароля и полный запрет на любые действия до авторизации.

Проект делают в двух вариантах: как плагин для Paper и Purpur, и как серверный мод для Fabric. То есть подойдёт и владельцу классического сервера на ядре, и тому, кто собрал всё на Fabric. По классификации это утилитарный инструмент из категорий Management и Technology, а не контентный штук вроде новых мобов - задачи у него сугубо административные.

Зачем это вообще нужно

На лицензионном сервере Mojang сама подтверждает, что ты - это ты. А в offline-mode вход открыт каждому. Игроки в таких сборках постоянно живут с мыслью "а если сольют базу паролей или кто-то просто угадает ник". AuthSecured решает это на уровне сервера: пока не ввёл пароль - ничего не делаешь. Ни блоки не ломаешь, ни сундуки не открываешь, ни в командные блоки не лезешь.

Для владельца это спокойствие. Для игроков - привычный сценарий "зашёл, залогинился, играешь", как на большинстве крупных пиратских проектов. А для тех, кто раньше держал авторизацию фигово - нормальная криптографическая база вместо самодельного хеша в километровом config.yml.

Совместимость и версии

Актуальная ветка 1.2.x рассчитана на несколько поколений игры сразу:

• Minecraft 1.21 - 1.21.11 и 26.1 - 26.2
• Paper/Purpur - ставится как обычный плагин
• Fabric - ставится как серверный мод

Важный нюанс, на котором спотыкаются почти все. Для Fabric нужен JAR, у которого суффикс +mc... точно совпадает с версией сервера. Плюс обязательно тянется соответствующий Fabric API. Если поставить Fabric-сборку от другой версии Minecraft - она просто не запустится или отвалится с непонятной ошибкой в логах. Такое же правило для Java: под 1.21.x нужна Java 21, под 26.x - Java 25. Старые исторические релизы могут иметь другой набор требований, так что не тащи их на свежий сервер.

И отдельно: не ставь одновременно и плагинный, и Fabric-артефакт на одном сервере. Это разные платформы, конфликт обеспечен.

Платформа	Файл для установки	Куда положить
Paper / Purpur	Paper JAR	plugins/
Fabric	Fabric JAR под версию игры + Fabric API	mods/

Что внутри

По части безопасности тут всё серьёзно - не самодельный md5 из соседнего туториала, а полноценные вещи:

• Argon2id для хеширования паролей - один из актуальных стандартов устойчивости к перебору
• Хранилище на выбор: SQLite или PostgreSQL
• Ограничение попыток входа через Redis или локально на сервере
• Настраиваемые ограничения до авторизации и таймаут входа
• Опциональные сессии при переподключении - чтобы не логиниться заново после каждого дисконнекта
• Локализация сообщений: английский, русский, испанский, итальянский и французский
• Админ-панель: статус, doctor (самодиагностика), аудит-лог, гранулярные права и временный сброс пароля
• Опциональные оповещения о неудачных входах в Discord webhook и Telegram

Отдельно стоит выделить проверку IP-сессии и защиту паролей от попадания в обычные логи сервера. Это та самая мелочь, из-за которой потом утекают аккаунты: где-то в консольке случайно всплывает логин с паролем. Тут это предусмотрели.

Установка

Схема простая, но свои грабли есть:

• Хочешь плагин - кидай Paper JAR в plugins/
• Хочешь мод - кидай подходящий Fabric JAR и Fabric API в mods/
• Оба сразу ставить нельзя, платформы разные
• Перед приёмом игроков обязательно просмотри сгенерированный конфиг

Если крутишь публичный проект, логично держать сервер на надёжном хостинге - например, BungeeHost, где панель поднимается в пару кликов и не нужно самому возиться с Java и зависимостями. Для offline-mode сервера, где на кону аккаунты игроков, железо и стабильность лучше не экономить.

Команды для игроков и админов

Для игроков:

• /register - регистрация
• /login - вход
• /changepassword - смена пароля
• /logout - выход

Для администрации:

• /authstatus - статус авторизации
• /authadmin - админ-функции: аудит, сброс паролей, права

Что поменяли в 1.2.2

Свежий релиз подтянул сразу несколько важных вещей:

• Обязательная настройка AUTHSECURED_IP_SECRET - если её не задать, защита будет дырявой
• Исправили обработку неизвестных IP и некорректных Argon2-хешей
• Добавили очистку старых сессий и записей аудита
• Безопасный откат Redis, если он отвалился
• Проверка Discord webhook по HTTPS
• Снизили риск двойного логирования команд

Если ты обновляешься на 1.2.2 - сначала зайди в конфиг и выстави AUTHSECURED_IP_SECRET. Иначе получишь как раз то поведение, от которого проект и должен защищать.

Практические советы

Пара вещей, которые стоит знать до установки. Во-первых, проект заявлен только для выделенных серверов - на локальном хосте с друзьями смысла ставить мало, там и так всё под контролем. Во-вторых, при включённом rate limit через Redis держи в голове, что при падении Redis мод корректно откатится, но лимиты какое-то время будут другими. В-третьих, если игроки жалуются на дисконнекты после входа - почти всегда дело в таймауте авторизации, его стоит повысить в конфиге.

Для чего это точно надо: пиратский сервер с несколькими десятками игроков, где хочется нормальной защиты без самопальных плагинов. Зачем брать: Argon2id, аудит, локализация на пять языков, права и оповещения - всё в одном флаконе. Скачать AuthSecured можно под Paper, Purpur и Fabric, установка занимает минуты, а спокойствие за аккаунты - на постоянку. Лицензия MIT, автор проекта - touchfalls.