Login+

Login+ - плагин авторизации для offline-mode серверов Minecraft, где стандартная проверка аккаунта Mojang отключена. Он закрывает главную проблему таких серверов: без дополнительной защиты игрок может зайти под чужим ником, если знает или угадает имя владельца аккаунта.

Плагин добавляет регистрацию по паролю, безопасные сессии, двухфакторную аутентификацию и полную блокировку действий до входа. Клиенту ничего устанавливать не нужно: Login+ работает полностью на стороне сервера, поэтому подходит для игроков с любыми версиями Minecraft и не требует модов, датапаков или платных сервисов.

Что меняется на сервере

После установки Login+ игрок сначала регистрирует аккаунт командой /register, а при следующих подключениях проходит авторизацию через /login. Пока вход не выполнен, нельзя двигаться, писать в чат, выполнять команды, получать урон, открывать инвентарь и подбирать предметы. Это особенно полезно для серверов с офлайн-режимом, пиратскими клиентами и сетей за прокси.

Для небольшого сервера достаточно SQLite. Если используется сеть из нескольких backend-серверов, можно подключить общую базу MySQL и переносить авторизованные сессии между серверами без повторного ввода пароля.

Основные возможности Login+

• Хеширование паролей Argon2id - пароли не сохраняются в открытом виде. Даже администратор сервера не сможет восстановить исходный пароль из базы. Argon2id использует ресурсоёмкую схему хеширования, которая заметно усложняет массовый перебор на GPU. Параметры можно усилить в конфигурации.
• Сессии - повторное подключение с того же IP в течение 15 минут позволяет пропустить повторный вход. Время действия настраивается, а активные сессии переживают перезапуск сервера.
• Бесплатная двухфакторная аутентификация - доступны TOTP через Google Authenticator, Discord и Telegram. Для TOTP QR-код показывается прямо на внутриигровом предмете-карте, поэтому настройка не требует доступа к сайту или отдельной панели.
• Уведомления о подозрительной активности - при привязанном Discord или Telegram игрок получает предупреждения о входе с нового IP, попытках перебора и смене пароля. Уведомление может прийти даже тогда, когда игрок не находится онлайн.
• Защита паролей в консоли - команды /login и /register перехватываются так, чтобы введённые пароли не попадали в консоль и обычные лог-файлы.
• Полная заморозка до авторизации - Login+ блокирует перемещение, чат, команды, урон, инвентарь и подбор предметов. Дополнительно можно включить слепоту и телепортацию на точку появления, чтобы скрыть координаты базы от стример-снайперов.
• Защита от ботов и перебора - есть ограничения числа попыток для игрока, блокировки по IP, защита от массового входа, фильтр имён по регулярному выражению и лимит аккаунтов с одного IP.
• Защита от подмены ника - например, игрок с именем NoTcH не сможет войти в аккаунт, зарегистрированный как Notch. Также можно блокировать дубликаты имён и включать дополнительные проверки UUID.
• Premium-режим - команда /premium позволяет включить автоматический вход для подтверждённых аккаунтов Mojang. Login+ использует этот режим только при реальной проверке соединения и не делает вид, будто offline-mode сервер способен самостоятельно подтвердить лицензию.
• Восстановление через электронную почту - при забытом пароле можно запросить одноразовый код через собственный SMTP-почтовый ящик. После восстановления двухфакторная аутентификация не отключается.
• Фильтр стран - подключения можно разрешать или запрещать по стране IP-адреса.
• Работа за прокси - плагин поддерживает Velocity, BungeeCord и Waterfall. При общей базе MySQL игроки могут переходить между backend-серверами без повторной авторизации.
• Проверка IP forwarding - при запуске Login+ проверяет настройки пересылки данных между прокси и backend-сервером и выводит подсказки в консоль, если конфигурация выглядит неправильно.
• Звуковая обратная связь - при успешной авторизации воспроизводится звук повышения уровня, а при ошибочном пароле звучит сигнал ошибки. Эффекты рассчитаны на работу в разных версиях игры.
• Базы данных и резервные копии - SQLite доступна сразу после установки, а MySQL подходит для серверных сетей. Для хранилища предусмотрены автоматические плановые резервные копии.
• Переводы - в комплекте есть английские и русские файлы сообщений, которые можно адаптировать под стиль сервера.

Login+ написан на Kotlin и работает серверно. Поддерживаются Bukkit-совместимые ядра, включая Spigot, Paper и Purpur, а заявленный диапазон версий начинается с Minecraft 1.8.8 и доходит до современных веток 1.21.x. Игрокам не нужны Fabric, Forge, NeoForge или Quilt: плагин не добавляет клиентскую часть.

Команды и права

Команда	Право	Описание
/register <pass> <pass>	loginplus.player.register	Создать аккаунт
/login <pass> или /l	loginplus.player.login	Войти на сервер
/logout	loginplus.player.logout	Выйти из аккаунта и заблокировать его
/changepassword <old> <new>	loginplus.player.changepassword	Изменить пароль
/unregister <pass>	loginplus.player.unregister	Удалить собственный аккаунт
/2fa setup <totp|discord|telegram>	loginplus.player.2fa	Подключить двухфакторную защиту
/2fa <code>	loginplus.player.2fa	Ввести код 2FA во время входа
/email set <address>	loginplus.player.email	Привязать почту для восстановления
/email recovery	loginplus.player.email	Восстановить забытый пароль
/premium или /freemium	loginplus.player.premium	Переключить автоматический вход Mojang-аккаунта
/loginplus <reload|forcelogin|unregister|info>	loginplus.admin	Административные команды

Права игроков по умолчанию включены. Административные команды доступны операторам сервера.

Как установить Login+

1. Поместите JAR-файл плагина в каталог /plugins.
2. Перезапустите сервер, а не используйте /reload.
3. Игроки создают аккаунт командой /register <пароль> <пароль>.
4. При следующем подключении они вводят /login <пароль>.
5. Дополнительные параметры включаются в config.yml.

Настройки подписаны прямо в конфигурационном файле, поэтому базовую установку можно выполнить без отдельной панели управления. После первого запуска стоит проверить лимиты попыток, время сессии, правила блокировки IP и параметры заморозки игрока.

Настройка двухфакторной аутентификации

Google Authenticator и TOTP

Дополнительный сервис не нужен. Игрок выполняет /2fa setup totp, после чего сканирует QR-код, отображённый на внутриигровой карте. Такой вариант работает полностью офлайн и не зависит от доступности Discord, Telegram или почтового сервера.

Telegram

Для Telegram используется собственный бот. После создания бота его токен указывается в config.yml, а игрок запускает настройку через /2fa setup telegram. Код подтверждения приходит личным сообщением от бота.

Discord

Для Discord также используется собственный бот, токен которого добавляется в config.yml. Игрок выполняет /2fa setup discord и указывает свой Discord User ID, если это требуется текущей конфигурацией. После привязки бот отправляет код входа в личные сообщения.

На практике TOTP удобнее для автономного сервера, потому что ему не нужен внешний мессенджер. Discord и Telegram полезны, когда администратору важны уведомления о новых IP и попытках взлома в реальном времени.

Работа за Velocity, BungeeCord и Waterfall

Login+ устанавливается на backend-серверы Spigot, Paper или совместимых ядер, которые находятся за прокси. Для корректной работы нужно выполнить три условия:

1. Включить IP forwarding на прокси и на backend-серверах.
2. Для общей сети указать storage.type: MYSQL и подключить все серверы к одной базе данных.
3. Закрыть backend-порты фаерволом, чтобы игроки подключались только через прокси.

При такой схеме сессия переносится между серверами сети. Игрок может перейти с лобби на выживание или мини-игровой сервер без повторного ввода пароля. Если forwarding настроен неправильно, плагин сообщит об этом при запуске, но правила фаервола всё равно нужно проверить вручную.

Что важно знать владельцу сервера

Login+ предназначен прежде всего для offline-mode. В таком режиме сервер не получает надёжного подтверждения личности от Mojang, поэтому пароль и дополнительные проверки становятся основной защитой аккаунтов. Это актуально для серверов с неофициальными клиентами и для backend-серверов, где онлайн-проверка отключена из-за работы через прокси.

На обычном online-mode сервере Minecraft аккаунт уже проверяется Mojang, поэтому отдельная регистрация по паролю обычно не требуется. Команда /premium тоже не является способом обойти проверку: она срабатывает только тогда, когда соединение действительно подтверждено online-mode сервером или корректно настроенным online-mode прокси с современным forwarding. На простом offline-mode сервере Login+ откажется включать такой режим, поскольку проверять там нечего.

Перед удалением или переносом плагина сохраните базу данных и резервные копии. Для сети серверов особенно важно, чтобы все backend-инстансы использовали одну схему хранения, иначе игроки могут увидеть разные статусы авторизации на разных серверах. Также не стоит применять /reload: для плагина авторизации безопаснее полностью перезапустить сервер и проверить сообщения консоли.

По назначению Login+ относится к серверным инструментам управления, безопасности и игровым механикам. Это не клиентский мод и не ресурспак: его задача не менять графику Minecraft, а закрыть вход на сервер, защитить аккаунты и сделать авторизацию удобной для одиночного сервера или полноценной прокси-сети.