AuthMeReloaded — un plugin pour authentifier les joueurs sur un serveur Minecraft

AuthMeReloaded — un plugin pour authentifier les joueurs sur un serveur Minecraft

AuthMeReloaded est un plugin d'authentification pour les serveurs fonctionnant en mode hors ligne. Tant qu'il ne s'est pas connecté ou enregistré, un joueur ne peut pas se déplacer, casser ou poser des blocs, saisir des commandes ni ouvrir son inventaire. Après un /login réussi, toutes les restrictions sont levées. Sur les serveurs en ligne, le plugin ajoute un deuxième niveau de protection — par exemple via la 2FA ou une protection contre le vol de pseudo. 

L'écran après l'entrée sur le serveur avec un message indiquant la nécessité de s'authentifier

Principe de fonctionnement 

Lorsqu'un joueur se connecte, AuthMe lui retire le statut OP, la vitesse de vol et de marche, et commence à envoyer des rappels toutes les 5 secondes. Un joueur enregistré saisit /login <mot de passe>, un nouveau — /register <mot de passe> <mot de passe>. Si le serveur plante avant que le joueur ne se déconnecte, les données sont enregistrées sur le disque via le système limbo — par défaut, chaque joueur dans un fichier distinct. 

Par défaut, 30 secondes sont allouées pour la connexion et 30 autres pour l'enregistrement — après quoi le joueur est expulsé. La limite d'enregistrements depuis une même IP est de 1 compte. Le pseudo doit comporter de 3 à 16 caractères, uniquement [a-zA-Z0-9_]. 

La version 6.0.0 a ajouté une boîte de dialogue graphique pour la connexion et l'enregistrement à la place du chat. 

La boîte de dialogue graphique d'authentification  

Configuration 

La configuration se trouve dans plugins/AuthMe/config.yml. Elle est générée au premier démarrage. 

Base de données 

Par défaut, le plugin utilise SQLite — le fichier est créé dans le dossier du plugin sans configuration supplémentaire. Pour les serveurs plus importants, passe à MySQL, MariaDB ou PostgreSQL via le paramètre DataSource.backend. Lors de l'utilisation d'une base de données externe, on indique les valeurs standard mySQLHost, mySQLPort, mySQLUsername, mySQLPassword et mySQLDatabase.

Sécurité et mots de passe 

La longueur minimale du mot de passe est de 5 caractères, la maximale de 30. Les caractères autorisés sont définis par le regex allowedPasswordCharacters, par défaut [!-~] — tous les caractères ASCII visibles. 

L'algorithme de hachage par défaut est SHA256. BCRYPT, PBKDF2, ARGON2 sont pris en charge, ainsi que les hachages des moteurs de forums — PHPBB, MYBB, XENFORO, WORDPRESS et autres. Lors du changement d'algorithme, les anciens mots de passe sont transférés via legacyHashes — le plugin re-hache automatiquement à la connexion

Le captcha s'active après 5 tentatives de connexion échouées, mais il est désactivé par défaut. Le bannissement temporaire de l'IP après 10 tentatives échouées est lui aussi désactivé par défaut — sa durée lorsqu'il est activé est de 480 minutes. 

Enregistrement  

Le type d'enregistrement par défaut est PASSWORD : le joueur indique lui-même le mot de passe deux fois. La deuxième option est EMAIL : le système génère un mot de passe et l'envoie par courriel. Pour la récupération par courriel, le SMTP est configuré via la section Email — par défaut, smtp.gmail.com port 465 est indiqué.

Les sessions sont désactivées par défaut. Lorsqu'elles sont activées (settings.sessions.enabled: true), un joueur qui se connecte depuis la même IP dans un délai de 10 minutes est authentifié automatiquement.

Commandes 

Toutes les commandes du plugin se divisent en deux niveaux : les commandes de joueur pour l'enregistrement et la gestion de son propre compte, et les commandes administratives /authme pour gérer les comptes des autres joueurs depuis la console ou avec les droits d'administrateur via le chat. 

Commandes de joueur 

Commandes administratives

Conclusion 

AuthMeReloaded empêche de jouer tant que le joueur n'a pas passé l'authentification. Il protège également contre le vol de pseudo. La configuration couvre pratiquement tous les scénarios : du simple serveur SQLite au réseau multiserveur avec MySQL et intégration de forum. La plupart des fonctions de protection sont désactivées par défaut — captcha, bannissement temporaire, protection par pays — et s'activent au besoin.