Offline-режим Minecraft: плагин авторизации и чем это опасно

Часть игроков заходит на сервер без лицензионного аккаунта Minecraft. Чтобы пустить их, владельцы выключают проверку аккаунта Mojang: в server.properties ставят online-mode=false. Это открывает вход тем, кто не покупал игру, но одновременно открывает дверь для подмены: любой может подключиться под ником, который принадлежит другому человеку, и получить его права и предметы.

В этой статье разберём, что меняется при offline-режиме, как работает плагин авторизации, какие у него риски и как собрать защиту, которая не сломает сервер. Примеры для Paper 1.21.1 из панели EGN.

Коротко

Offline-режим включается параметром online-mode=false в server.properties. Сервер перестаёт проверять ник через Mojang, поэтому защитить аккаунт должен плагин авторизации: например, AuthMe, с командами /register и /login. Дополнительно закройте админские права и ограничьте вход белым списком. Лицензионный режим с прокси или Floodgate для Bedrock безопаснее, если позволяет аудитория.

Что меняет online-mode

При online-mode=true игрок входит только после проверки сессии Mojang. Сервер знает, что ник Steve_EGN принадлежит аккаунту, который подтвердил вход. Идентификатор игрока (UUID) берётся из аккаунта и не меняется.

При online-mode=false проверки нет. Сервер принимает любое имя, а UUID вычисляется из ника. Поэтому:

любой может зайти как Steve_EGN, если никто не защитил этот ник;
если админ назначен оператором по нику, злоумышленник с тем же ником получит его права;
инвентарь и данные привязаны к UUID, который вычислен из ника, и при смене ника игрок «потеряет» вещи.

online-mode=true и online-mode=false: проверка ника и нужный плагин авторизации

Схема показывает главный вывод. Если проверки нет, ник ничего не доказывает. Остаётся только пароль, который ставит плагин авторизации, и ограничения, которые вы выдаёте через права.

Шаги

1. Решите, нужен ли offline-режим

Прежде чем менять настройку, ответьте на три вопроса. Сколько игроков без лицензии ожидаете? Есть ли у вас админы с правами по нику? Готовы ли вы поддерживать пароли игроков? Если на сервере нет админов и вход без лицензии — единственная причина, offline-режим может быть оправдан. Если же есть рейтинги, магазин и привилегии, лучше искать другой путь, о нём в конце статьи.

2. Поставьте плагин авторизации

В панели откройте «Моды и плагины» → «Каталог», выберите «Paper — плагины» и версию 1.21.1. Найдите AuthMeReloaded (в Modrinth он есть под этим названием, рядом встречаются его форки) или другой плагин авторизации, который поддерживает вашу версию ядра, и установите его. Актуальный релиз для вашей версии смотрите в карточке плагина: старая сборка может не работать на новом ядре.

После установки перезапустите сервер. В логах должна появиться строка о загрузке плагина. Если AuthMe пишет про несовместимость, проверьте версию ядра Paper и версию плагина.

3. Включите offline-режим

Откройте «Файлы» и отредактируйте server.properties. Редактор проверяет файл перед сохранением (типы значений, лишние пробелы) и предупредит об ошибке. Найдите строку и замените её:

server.properties

online-mode=false

Сохраните файл и перезапустите сервер. Теперь проверку ника выполняет плагин.

enforce-secure-profile

Параметр enforce-secure-profile в server.properties отвечает за подписанные профили Mojang: при true не пускают игроков без подписанного ключа, при false чат остаётся неподписанным, а клиенты видят об этом предупреждение (описано на minecraft.wiki). Отдельно трогать его ради offline-режима обычно не нужно; меняйте, только если видите связанную с этим ошибку в логе.

4. Настройте регистрацию и вход

Игрок регистрируется командой /register с паролем, который вводит дважды, и заходит командой /login:

Терминал

/register Пароль123 Пароль123
/login Пароль123

Смена пароля — /changepassword <старый> <новый>, удаление своего аккаунта из базы — /unregister <пароль>. Для администраторов есть /authme register <ник> <пароль> (создать аккаунт игроку), /authme changepassword <ник> <новый пароль> (сменить пароль, если игрок его забыл) и /authme unregister <ник>. Команды перечислены в документации AuthMe; если ваша версия плагина отвечает иначе, ориентируйтесь на /authme help.

Чтобы игрок не бродил по миру до входа, проверьте в конфиге AuthMe (plugins/AuthMe/config.yml) раздел settings.restrictions: он ограничивает действия до входа (движение, чат, команды). Значения и комментарии смотрите в файле своей версии: набор параметров меняется от релиза к релизу.

5. Закройте админские права

Главная угроза offline-режима — подмена администратора. Поэтому оператор выдаётся только по необходимости, а права — через группы LuckPerms. Пример:

Терминал

lp group admin permission set essentials.gamemode true
lp group default permission unset *
lp user Admin_EGN parent add admin

Команда unset * убирает общий доступ, если он был выдан ошибочно. Подробнее о группах в статье LuckPerms.

Оператора снимайте, если он больше не нужен: /deop <ник>.

6. Белый список как второй замок

Белый список пускает на сервер только перечисленные ники. Для закрытого сервера это сильная мера: даже если пароль утёк, злоумышленник с другим ником не зайдёт. В панели откройте «Игроки»: там есть блок «Белый список» с переключателем и полем для ника. Добавьте ники тех, кто должен играть, и включите переключатель. Подробнее — в статье Выдача op и whitelist.

Блок «Игроки» в панели EGN: белый список, заблокированные и операторы

Белый список не заменяет пароль, но закрывает дверь, когда открыты все остальные. Для публичного сервера он не подходит, поэтому выбирайте по аудитории.

Как сделать в панели EGN

«Моды и плагины» → «Каталог» → установите плагин авторизации и перезапустите сервер.
«Файлы» → server.properties → online-mode=false, затем сохраните. Редактор предупредит об ошибке формата до сохранения.
«Файлы» → конфиг AuthMe — настройте лимбо и сообщения.
«Игроки» → «Белый список» — включите и добавьте ники.
«Игроки» → «Оператор (op)» — оставьте только доверенных админов.
«Бэкапы» — перед переключением online-mode сделайте снимок. Смена режима меняет UUID игроков, и данные, привязанные к старому UUID (инвентарь, права, дома), перестанут находиться по нику, поэтому нужен снимок для отката.

Частые ошибки

Симптом	Причина	Решение
Игрок заходит с ником админа и получает его права	Нет пароля или плагин не загружен	Проверьте загрузку плагина, снимите op с ника
Инвентарь пропал после перехода на offline	Смена режима поменяла UUID	Откат из бэкапа и перенос данных через поддержку
Игрок не может войти после регистрации	Пароль введён с ошибкой или регистрация не завершена	Задайте новый пароль командой `/authme changepassword <ник> <пароль>`
Игроки ходят до входа	Лимбо в AuthMe не настроено	Включите ограничения в конфиге плагина
Игроку не дают зарегистрироваться под ником	Ник не проходит ограничения плагина (символы, длина)	Проверьте ограничения ников в конфиге AuthMe и в документации плагина

Если пароли игроков хранятся в базе плагина, относитесь к ней как к чувствительным данным. Не выкладывайте файлы базы в открытый доступ и не присылайте их в чат. Бэкапы держите в закрытом виде.

Пример: защита аккаунта администратора

Самая опасная ситуация — админ без пароля. Допустим, у вас есть аккаунт Admin_EGN с полными правами. Вот порядок действий, который закрывает риск.

Перед переключением на offline-режим зарегистрируйте Admin_EGN в плагине авторизации и поставьте длинный пароль, не совпадающий с паролями других сервисов.
Снимите op с аккаунта, если он был выдан по нику: /deop Admin_EGN. Права выдавайте группой через LuckPerms, как описано в статье про права.
Ограничьте админскую группу: только нужные команды, без *.
Включите белый список и добавьте только ники администрации.
Проверьте вход: зайдите с основного аккаунта, затем попробуйте зайти с другого устройства. Должна работать только проверка пароля.

Если в какой-то момент вы заметили чужой вход под вашим ником, сразу смените пароль командой /authme changepassword, закройте белый список и проверьте журнал. После этого пройдите по пунктам выше заново.

Таблица «симптом → причина → решение»

Симптом	Причина	Решение
Игрок с правильным паролем не может войти	Пароль не совпадает с сохранённым или аккаунт заблокирован	Задайте новый пароль командой `/authme changepassword` и попросите игрока войти с ним
Регистрация зависает	Плагин не загрузился или конфликтует с другим входом	Проверьте консоль и версии плагинов
Игроки ходят до входа	Лимбо не настроено	Включите ограничения в конфиге плагина
После смены режима пропали инвентари	UUID изменился	Восстановите данные из бэкапа

Итог

Offline-режим — это компромисс. Он пускает тех, кто не купил игру, но переносит защиту с проверки Mojang на пароли и права. Если выбрали его, сделайте три вещи: установите плагин авторизации, закройте админские права и включите белый список на закрытом сервере. Тогда ник перестанет быть легко подменяемым, а админы — лёгкой мишенью.

Если аудитория смешанная, посмотрите на Floodgate: он пускает игроков Bedrock без лицензии Java и не отключает проверку для остальных. Для защиты территорий после входа пригодятся WorldGuard и WorldEdit, а для отката краж — CoreProtect.

Вопросы и ответы

Опасен ли offline-режим для игроков, у которых есть лицензия?

Да. Любой может зайти под их ником, если у них нет защиты на сервере. Поэтому на offline-сервере лицензионные игроки тоже должны регистрироваться и ставить пароль.

Можно ли защитить сервер без плагина авторизации?

Частично: белый список и права по группам снижают риск. Но без пароля ник ничем не подтверждается, поэтому для открытого сервера плагин нужен.

Что делать, если пароль админа утёк?

Сразу смените пароль командой /authme changepassword, снимите op с аккаунта, проверьте права и журнал входов (как читать журнал, описано в статье Логи сервера). Если в базе есть подозрительные изменения, откатите её из бэкапа.

Нужен ли offline-режим на Paper 1.21.1 в 2026 году?

Решение зависит от аудитории. Для Bedrock-игроков проще подключить Floodgate. Offline-режим оставляйте для тех случаев, где вы понимаете риск и защищаете сервер.

Сервер под Minecraft за пару минут — egnetwork.ru