Плагины авторизации Minecraft: AuthMe, nLogin и другие

Коротко: для одного сервера на Paper самый прямой вариант — AuthMe Reloaded (открытый код, сборки до 26.3, базы SQLite, MySQL, MariaDB, PostgreSQL, вход по TOTP). nLogin работает и на серверах, и на прокси, но вход лицензии без пароля и сессии в нём — возможности платной версии. LimboAuth — только для Velocity, авторизация в виртуальном мире до входа на сервер. LibreLogin открыт и удобен на прокси, но последний выпуск 0.24.0 вышел в январе 2025 года с поддержкой до 1.21.4. Какой бы плагин вы ни выбрали, включите медленный хеш, ограничьте попытки входа и не оставляйте игровые серверы открытыми в обход прокси.

Зачем нужен плагин авторизации#

При online-mode=false сервер не проверяет аккаунт через Mojang, а UUID игрока вычисляется из ника. Кто зайдёт под ником администратора, получит его UUID — вместе с инвентарём, правами и OP. Плагин авторизации закрывает ник паролем: при первом входе игрок регистрируется (/register), дальше входит командой /login, а до входа не может ходить, ставить блоки, писать команды и открывать инвентарь. Подробно о самом режиме — в статье сервер для пиратки.

Серверу с online-mode=true такой плагин обычно не нужен: аккаунт проверяет Mojang. Игровым серверам за Velocity с проверкой лицензии на прокси — тоже: их защищает пересылка данных игрока и закрытый порт, см. настройку Velocity.

Сравнение плагинов авторизации#

Коротко о каждом#

AuthMe Reloaded

Самый «полный» плагин для одного сервера: отдельные сборки под Paper, Folia и Spigot, плагины для прокси, встроенный AntiBot, восстановление по почте, привязка ника к IP (restricted users), капча и временный бан IP после неудачных попыток. На Paper и Folia 1.21.11+ умеет показывать окно входа ещё до захода в мир. Лицензионный игрок включает вход без пароля командой /premium; без прокси для этого нужен PacketEvents 2.x — без него функция просто не включится. Умеет импортировать аккаунты из LibreLogin, LimboAuth, nLogin, OpeNLogin и других.

LibreLogin

Открытый плагин, который в основном ставят на прокси: Velocity или BungeeCord, есть порт для Paper. TOTP, сессии, поддержка Bedrock через Floodgate, перенос данных из AuthMe, JPremium, nLogin и других. Вход без пароля игрок включает сам командой /premium <пароль> — и после этого уже не сможет зайти с нелицензионного клиента, пока администратор не выключит режим. На прокси LibreLogin требует отдельный «лимбо»-сервер для входа, и его нужно защитить. Главный минус — свежесть: последний выпуск 0.24.0 от 27 января 2025 года заявляет поддержку 1.21.1–1.21.4.

LimboAuth

Плагин для Velocity от Elytrium на библиотеке LimboAPI: игрок проходит авторизацию в виртуальном мире на самом прокси и попадает на игровые серверы уже вошедшим. Хеш — BCrypt, базы H2, MySQL и PostgreSQL, TOTP, Floodgate, блокировка слабых паролей, перенос из плагинов, похожих на AuthMe. В гибридном режиме (online-mode-need-auth: false) ник лицензионного аккаунта входит только с лицензией и без пароля; по умолчанию регистрироваться должны все. Подходит сетям; для одиночного сервера без прокси не годится.

nLogin

Плагин nickuc для серверов и прокси. В сети его ставят на прокси и на серверы авторизации, но не на игровые серверы режимов. По умолчанию хеширует BCRYPT2A и после одной неверной попытки наказывает на 15 минут (max-login-tries: 1, punishment-duration: 15). Переносит аккаунты командой /nlogin converter <плагин> из AuthMe, LibreLogin, LimboAuth, JPremium и десятков других. Вход лицензии без пароля, вход Bedrock без авторизации, сессии и привязка почты и Discord для второго фактора перечислены в описании платной версии nLogin Premium.

Безопасная настройка на примере AuthMe#

1. 1

   Медленный хеш

   По умолчанию AuthMe хранит пароли в SHA256. BCRYPT и ARGON2 он тоже относит к рекомендуемым, а LibreLogin, nLogin и LimboAuth по умолчанию используют BCrypt. Меняя алгоритм на работающем сервере, впишите старый в legacyHashes: AuthMe проверит пароль старым способом и перехеширует его новым. Для ARGON2 в системе нужна библиотека argon2.

2. 2

   Ограничьте попытки

   Включите капчу после неудачных попыток (useCaptcha, по умолчанию после 5) и временный бан IP (enableTempban: после 10 попыток на 480 минут). Обе защиты в AuthMe по умолчанию выключены.

3. 3

   Пароли длиннее

   minPasswordLength по умолчанию 5 — поднимите. Список unsafePasswords уже запрещает 123456, password, qwerty; дополните его.

4. 4

   Закройте аккаунты команды

   Для ников администраторов включите AllowRestrictedUser и привяжите их к IP в AllowedRestrictedUser, а самим админам — TOTP (/totp add). Права выдавайте группами через LuckPerms, а не OP.

5. 5

   Не пишите пароли в лог

   AuthMe сам вырезает из консоли строки с /login, /register, /changepassword и кодами 2FA. Если ставите плагины, которые пишут все команды игроков в файл или Discord, проверьте, что пароли туда не попадают.

settings:
    security:
        minPasswordLength: 8
        passwordHash: BCRYPT
        legacyHashes:
        - SHA256
Security:
    captcha:
        useCaptcha: true
        maxLoginTry: 5
    tempban:
        enableTempban: true
        maxLoginTries: 10
        tempbanLength: 480

Авторизация в сети серверов#

• Прокси проверяет лицензию (online-mode=true на Velocity): плагин авторизации не нужен вовсе. Если вы всё же держите AuthMe на игровых серверах, включите Hooks.bungeecord: true — тогда лицензию подтверждает прокси.
• Прокси в оффлайн-режиме: ставьте AuthMe на серверы и authme-velocity или authme-bungee на прокси с одинаковым proxySharedSecret; либо плагин уровня прокси — LibreLogin, LimboAuth или nLogin по его схеме.
• Порты игровых серверов — только для прокси. Документация Velocity предупреждает: кто подключится к игровому серверу в обход прокси, сможет выдать себя за любого игрока. Никакой плагин авторизации на прокси от этого не спасёт — закройте порты фаерволом, см. IP и порт.
• Против ботов — встроенный AntiBot AuthMe (включён по умолчанию) и меры на уровне прокси и хостинга, см. боты и DDoS.

Как выбрать#

• Один сервер на Paper или Folia — AuthMe Reloaded: свежие сборки, открытый код, все защиты в одном конфиге.
• Сеть на Velocity, авторизация до входа на серверы — LimboAuth или nLogin; AuthMe — если удобнее держать его на серверах с плагином для прокси.
• Нужен вход лицензии без пароля бесплатно — AuthMe (/premium), LibreLogin или LimboAuth; в nLogin это платная функция.
• Переезд с другого плагина — у AuthMe есть импорт из LibreLogin, LimboAuth, nLogin и OpeNLogin, у nLogin — /nlogin converter, у LibreLogin — перенос из AuthMe, JPremium и nLogin. Перед переездом сделайте резервную копию базы.

Авторизация и античит#

Плагин авторизации решает, кто вошёл под ником, но не то, что игрок делает после /login. DGuard — лучший античит для современного сервера Minecraft — проверяет поведение и пакеты, а не аккаунт, поэтому на сервере с online-mode=false работает так же, как на лицензионном: любой клиент проходит одни и те же проверки боя, движения, постройки, инвентаря и пакетов. Новый ник после бана не делает читера невидимым — на новом аккаунте его ловят те же проверки.

DGuard работает за Velocity и BungeeCord и делает исключения для игроков Bedrock, заходящих через Floodgate. А PacketEvents, без которого AuthMe не пускает лицензию без пароля на сервере без прокси, у вас уже стоит: DGuard всегда работает рядом с его последним релизом.

Частые вопросы#