ShadowLogin

Giorni di tolleranza, con funzionamento normale, prima che la licenza smetta di valere quando un abbonamento scade o quando l'indirizzo del server non corrisponde alla licenza. Un rinnovo è quasi sempre già stato avviato, e un indirizzo che smette di corrispondere è molto più spesso un NAT che un ladro.

L'indirizzo con cui è conosciuto questo server, se lo sai. Dietro un proxy la macchina non vede mai il proprio dominio, e questa riga è l'unico modo per dirglielo senza chiamare nessuno.

Una chiamata all'avvio al servizio licenze (activation-url + /ip) per scoprire l'indirizzo pubblico di questo server: dietro NAT è l'unico modo per riconoscerlo. Solo con una licenza installata: un server senza chiave non chiede niente a nessuno. false = non chiedere mai.

Servizio di attivazione. Questo è l'indirizzo BASE: il plugin aggiunge da solo /claim e /check. Vuoto significa verifica completamente offline.

Il fattore di costo di BCrypt. Ogni +1 RADDOPPIA il tempo necessario.

10 -> circa 60 ms      un po' scarso nel 2026
12 -> circa 250 ms     il valore consigliato
14 -> circa 1 secondo  per pochi giocatori e molta preoccupazione

Quando alzi il costo qui sopra, gli account esistenti hanno ancora il vecchio hash. Con questa opzione ogni password viene ricalcolata al nuovo costo al prossimo login del suo proprietario: nessuno deve fare niente, e in pochi giorni tutto il database è aggiornato.

Non funziona mai al contrario: se abbassi il costo, gli hash più robusti restano come sono.

Lunghezza minima. Sei è il compromesso onesto per un server Minecraft: sotto viene indovinata, sopra la gente la scrive su un post-it o ne riusa una di un altro sito.

Il massimo NON è severità: BCrypt guarda solo i primi 72 byte, quindi oltre quel punto i caratteri smettono di contare. Il plugin lo dice invece di lasciartelo scoprire il giorno in cui cambi la fine di una frase molto lunga e quella vecchia funziona ancora.

Richiede una lettera E una cifra. Disattivato di default, e non è una svista: le regole complicate producono password peggiori ("Marco1", "Password1") e non fermano nessuno. Se lo attivi, sappi cosa hai comprato.

Vieta una password identica al nome del giocatore. Questa sì, perché è la prima cosa che prova chiunque.

Password che non si possono usare. Sono le prime voci di qualsiasi dizionario: bloccarle non costa nulla ed elimina metà dei furti di account su un server Minecraft.

Aggiungi il nome del tuo server: è sempre nella lista di un attaccante.

Quanti tentativi prima di essere espulsi. Cinque è generoso per chi ha davvero sbagliato a digitare e stretto per chi tira a indovinare.

Dopo quanto tempo un errore viene dimenticato. Chi ha sbagliato una volta il mese scorso non dovrebbe portarselo dietro.

L'attesa dopo il primo errore, che poi RADDOPPIA a ogni errore successivo: 5s, 10s, 20s, 40s... fino al tetto qui sotto.

Dopo quanti errori l'account viene bloccato del tutto, e per quanto tempo.

Se espellere chi ha esaurito i tentativi. Attivo: chi sta indovinando password deve riconnettersi ogni volta, e riconnettersi passa per i limiti dell'antibot.

Quanto tempo c'è per fare login prima di essere espulsi. Serve soprattutto contro chi apre connessioni e le lascia lì a occupare uno slot.

Ogni quanto ricordare a chi aspetta cosa deve fare. Cinque secondi bastano per farsi notare senza diventare fastidiosi.

Dopo il login, spinge fuori dallo schermo ciò che è stato scritto.

ONESTAMENTE: nessun plugin può cancellare la cronologia locale del client - la freccia su riporterà comunque il comando scritto, ed è un limite del gioco, non una svista. Questo toglie subito la riga dalla vista, così non resta lì mentre qualcuno guarda lo schermo.

Se la cosa ti preoccupa davvero, la risposta è login.input: GUI: con il tastierino a schermo la password non passa mai per la chat.

Disattiva tutto il capitolo: nessuna chiamata a Mojang, password per tutti.

AUTO = una sessione già autenticata entra senza password.
OFF  = nessuno salta la password, ma la protezione dei nomi resta attiva.

- il server è in online-mode, oppure
- il server sta dietro un proxy con il forwarding configurato, e
  trust-proxy-authentication qui sotto è attivo.

Se fidarsi dell'UUID che arriva da un proxy. Leggi il paragrafo sopra: se lo lasci attivo, assicurati che il tuo server sia raggiungibile SOLO attraverso il proxy. Si applica solo quando questo server ha davvero il proxy forwarding attivo (paper-global.yml proxies.velocity.enabled, oppure spigot.yml settings.bungeecord) e quel proxy è dichiarato in online-mode (proxies.velocity.online-mode / proxies.bungee-cord.online-mode). Senza forwarding nessun UUID arriva da un proxy, e nessuno viene considerato affidabile.

Chiede la password anche a chi Mojang ha già autenticato. Per chi vuole due barriere invece di una: è meno comodo ed è più sicuro, ed è una scelta legittima per un server con rank costosi.

Impedisce che il nome di un account reale venga registrato da una sessione non autenticata.

Questa è la protezione più importante di tutto il capitolo. Senza di essa chiunque può connettersi con il nome di un giocatore ufficiale prima che il proprietario arrivi, registrarlo con una password sua, e da quel momento è quel giocatore: è il furto più comune sui server misti.

Quanto aspettare la risposta di Mojang. Tre secondi sono generosi: l'attesa cade nel mezzo di una connessione, e un secondo in più lo sente chi sta entrando.

Per quante ore ricordare una risposta. Un nome comprato resta comprato; un nome libero comprato oggi viene scoperto al massimo entro tre giorni. Alzarlo riduce le chiamate, abbassarlo le aumenta.

Cosa fare quando Mojang non risponde (succede: hanno avuto interruzioni durate ore). In nessun caso qualcuno viene bloccato all'ingresso.

CACHE_THEN_PASSWORD = usa l'ultima risposta nota, altrimenti chiede la
                      password (consigliato)
PASSWORD            = chiede semplicemente la password

L'indirizzo del servizio. Cambialo solo se usi un mirror.

IL PROBLEMA, con l'esempio che succede davvero. Marco entra con il gioco originale, riceve l'UUID di Mojang e costruisce un'isola. Il giorno dopo entra da un client non ufficiale con lo stesso nome: quell'UUID è diverso, quindi per il server è UN'ALTRA PERSONA. Nuova isola, inventario vuoto, niente soldi. Marco non capisce, e ha ragione a non capire: è sempre Marco.

OFF      = non cambia nulla (predefinito). Ufficiale e non ufficiale restano due
           persone diverse, con due account, due isole e due
           inventari - che è anche quello che farebbe il server
           da solo. Giusto per un server in cui i due non si mescolano mai.

OFFLINE  = tutti ricevono l'UUID calcolato dal nome, compresi i
           giocatori ufficiali. CONSIGLIATO su un server misto, e il
           motivo è che non dipende da nessuno: quell'UUID si
           ricava dal nome con un calcolo, sempre lo stesso,
           senza chiedere niente a nessun servizio. Un UUID che cambia
           perché Mojang è stato giù cinque minuti è un'isola persa.

PREMIUM  = tutti ricevono il vero UUID di Mojang, quando il nome ne ha uno.
           Per i server che hanno già dati creati in online-mode
           e non vogliono perderli. Costa una dipendenza: se
           Mojang non risponde per un nome mai visto prima, il
           plugin NON tira a indovinare - rifiuta la connessione con
           "riprova tra un minuto". Far entrare qualcuno con
           l'UUID sbagliato non è un fastidio come riscrivere una
           password: è finire sull'isola di nessuno e costruirci
           sopra.

Cosa fare quando il nome è giusto ma l'UUID no.

DENY         = rifiuta la connessione e lo scrive in console
               (consigliato: è esattamente il caso pericoloso)
ASK_PASSWORD = lascia provare con la password, senza nessuna scorciatoia
               (utile mentre stai cambiando la configurazione del network e
               sai cosa stai facendo)
ALLOW        = adotta il nuovo UUID come quello dell'account
               (solo per una migrazione, e solo per il tempo necessario)

Quanto dura. Mezz'ora copre una disconnessione, un riavvio del server e un salto tra server in un network; diverse ore iniziano a essere una vera finestra per chi si siede al computer di un'altra persona.

Lega la sessione all'indirizzo. Lascialo attivo: senza, una sessione sarebbe valida da qualunque parte del mondo, e a quel punto la password servirebbe esattamente una volta, per sempre.

Automatico, o su richiesta.

false = dopo il login compare un pulsante [ RICORDAMI ] e il giocatore
        decide (consigliato: la fiducia si concede, non si impone)
true  = un token viene emesso da solo a ogni login con password

Quanto vale un token, contato dall'ultima volta che è stato usato - così un giocatore che torna ogni sera non incontra mai la schermata di login, e un computer che qualcuno ha smesso di usare smette di essere attendibile una settimana dopo.

A cosa è ancorato un dispositivo ricordato quando il client non restituisce il token. È l'impostazione che decide se la funzione funziona davvero sul tuo server.

ADDRESS = prima il token; se non arriva, viene accettato al suo posto l'indirizzo da cui
          il dispositivo è stato attivato. CONSIGLIATO, e il
          predefinito: sopravvive alla chiusura del gioco e al riavvio del
          server, che è ciò che un giocatore intende con "ricordami".
          Il prezzo: chiunque condivida quell'indirizzo è indistinguibile
          dal proprietario finché dura la fiducia. Su una connessione
          di casa è la famiglia; dietro un operatore mobile possono essere
          migliaia di persone. Accorcia "duration" se questo ti preoccupa.

COOKIE  = il token e nient'altro. Più sicuro, e molto più fragile:
          chiudere il gioco significa riscrivere la password, e su alcune
          configurazioni significa scriverla ogni singola volta.

Per quanto tempo il token appena sostituito viene ancora accettato.

Lega un dispositivo ricordato all'indirizzo da cui è stato emesso.

Disattivato di default, e apposta: tutto il senso di questa funzione è NON dipendere dall'indirizzo, che cambia da solo (dati mobili, un riavvio del router) ed è condiviso da tutti nella stessa casa. Attivalo solo se i tuoi giocatori hanno indirizzi stabili e vuoi una seconda serratura.

Quanti computer diversi può ricordare un account. Il più vecchio esce quando arriva il numero N+1.

Il nome del cookie. Cambialo solo se hai più server dietro lo stesso proxy e NON vuoi che condividano la fiducia (vedi sopra). Solo lettere minuscole, cifre, punto, trattino e underscore.

Se un dispositivo attendibile salta anche l'autenticazione a due fattori.

Lascialo false: il token dimostra che il computer è quello solito, non che davanti c'è la persona giusta. Sono due domande diverse, e chi ha attivato un secondo fattore le ha chieste entrambe.

Quanto aspettare la risposta del client DURANTE la connessione. Questa è la strada veloce, e mentre aspetta tiene occupato un thread di rete, quindi resta breve apposta.

Il nome mostrato nell'app di autenticazione. Metti qui il nome del tuo server: chi ha venti voci nella propria app deve capire quale sei tu.

Quanti codici accettare prima e dopo quello attuale (uno = un minuto e mezzo in totale). Serve per gli orologi non sincronizzati. Alzarlo moltiplica i codici validi in ogni istante: se ti serve più di 1, il problema è l'orologio del server.

Quanti codici di backup consegnare. Servono per il giorno in cui si rompe il telefono: senza, quel giorno l'account è perso.

La domanda di sicurezza, impostata dal giocatore.

Il codice che un operatore genera con /shadowlogin resetpassword. Questa è la strada onesta: un amministratore riconosce la persona e le consegna un token temporaneo, invece di entrare nell'account al posto suo.

Usa lo spawn del mondo del giocatore, alzato all'altezza qui sotto. Disattivalo per usare la posizione fissa in location.

Trecentoventi blocchi: sopra le nuvole non c'è niente da guardare, e da lassù non si capisce nemmeno in che parte della mappa ci si trova.

Di quanti blocchi ci si può muovere. Non zero: bloccare del tutto il movimento fa fare al client il "rubber-band" e lo schermo trema. Tre blocchi permettono a client e server di restare d'accordo.

Nasconde chi aspetta a tutti gli altri, e tutti gli altri a lui. Così la schermata di login non si può usare per spiare chi è online.

Cecità: il cielo vuoto di cui sopra.

Mette da parte l'inventario e lo restituisce dopo il login.

Lo snapshot viene scritto nel database PRIMA di svuotare qualsiasi cosa, e se quella scrittura fallisce l'inventario non viene toccato affatto. Così un crash improvviso del server non costa nulla a nessuno: al primo login dopo il riavvio tutto torna dov'era.

Niente fame durante l'attesa.

Quante connessioni simultanee da un indirizzo. Tre fanno passare una famiglia con tre fratelli e fermano una botnet su un singolo indirizzo.

SE SEI DIETRO UN PROXY SENZA INOLTRO DELL'INDIRIZZO REALE, questo numero vale per TUTTO IL SERVER INSIEME: leggi il capitolo "proxy" qui sotto. Il plugin se ne accorge da solo e te lo dice in console.

Quante registrazioni da un indirizzo dentro la finestra. Questo è il limite che conta di più: creare account è l'unica cosa che un bot può fare che RESTA dopo che se n'è andato.

Sopra questo numero di connessioni dentro la finestra, il plugin capisce che sta succedendo qualcosa. Otto in cinque secondi sono molte più di quante ne veda un server normale, anche pieno.

La modalità rigorosa si attiva da sola sopra la soglia qui sopra, e per qualche minuto entra solo chi ha già un account.

Durante la modalità rigorosa, blocca anche le nuove registrazioni.

La forma che deve avere un nome. Il predefinito è esattamente ciò che Minecraft consente: da 3 a 16 lettere, cifre e underscore.

ATTENZIONE se hai giocatori Bedrock tramite Geyser: i loro nomi hanno un prefisso (di solito un punto) e sono più lunghi. In quel caso usa:

"^[.A-Za-z0-9_ ]{3,20}$"

Usa l'indirizzo dichiarato dal proxy (quello reale del giocatore). Impostalo a false solo se NON ti fidi del tuo forwarding: in quel caso tutti sembreranno arrivare dallo stesso indirizzo. Con il forwarding attivo e questa opzione a false il plugin lo sa, e disattiva tutto ciò che si basa sull'indirizzo: i limiti per indirizzo (varrebbero per tutto il server), le sessioni legate all'indirizzo e i dispositivi ricordati per indirizzo (farebbero entrare chiunque scriva il nome).

CHAT = solo /login e /register
GUI  = solo il tastierino a schermo
BOTH = entrambi, e sceglie il giocatore

Apre da solo il tastierino all'ingresso. Disattivato di default: chi è abituato a scrivere /login si ritroverebbe una finestra in faccia.

Quante cifre ha il PIN. Non scendere sotto sei.

Attesa minima tra due clic, contro i bot che cliccano.

Non annunciare "Marco è entrato" prima che Marco abbia scritto la password: chi è entrato è qualcuno che ha scritto il nome Marco. Il messaggio viene inviato dopo il login, e se il login non avviene non viene inviato affatto.

Il prefisso delle tabelle. Cambialo se due server condividono un database ma NON devono condividere gli account.

Un MySQL o MariaDB esterno. Offre una cosa sola, e vale la pena solo per quella: in un network, una registrazione fatta su un server vale su tutti gli altri.

(Fa parte dell'edizione Premium. Senza licenza il plugin resta sul database locale, con tutti i suoi dati, e lo dice in console.)

Se MySQL non risponde, parte sul database locale invece di non partire. Attivo: un plugin di login che non parte è un server chiuso.

Permette a un altro processo di aprire lo stesso file H2. Utile solo se sai perché ti serve.

La lingua predefinita. I file stanno in lang/: il plugin include en_US e it_IT, e viene caricato anche un file che aggiungi lì.

Segue la lingua che ogni giocatore ha impostato nel proprio client.

Porta i file di lingua alla nuova versione quando il plugin viene aggiornato: arrivano i testi nuovi, i testi che hai cambiato restano tuoi, e il file precedente viene tenuto in backup/<date>/. Con false i file in lang/ non vengono mai riscritti, e un testo che vi manca viene letto dalla copia dentro il jar.

Accetta il carattere di sezione oltre a & nei codici colore.

Non parte se è installato un altro plugin di login.

Due plugin che gestiscono l'ingresso non si sommano: si intralciano a vicenda, e il risultato non è "più sicuro" ma INDEFINITO. Lascialo attivo.

Le registrazioni sospette e i tentativi ripetuti diventano una segnalazione nel pannello. Nessuna password e nessun segreto finisce mai lì dentro: solo cosa è successo e a chi.

Teletrasporta allo spawn dopo il login, e non prima: prima vorrebbe dire mostrare lo spawn a qualcuno che non ha ancora dimostrato di essere chi dice di essere.

I permessi vengono ricalcolati dopo il login. Prima non se ne applica nessuno, e non perché li togliamo: perché non c'è nulla che potrebbe usarli.

Scrive in console ogni password sbagliata (nome e indirizzo, mai la password). Utile per accorgersi di un attacco mirato.

Scrive ogni istruzione SQL. Solo per capire un problema: è lento e riempie il log.

bStats (https://bStats.org): quanti server usano questo plugin e su quale versione sono. Cosa viene inviato, ogni 30 minuti: un id casuale del server (serverUuid, non derivato da nulla), la versione del plugin, le versioni di Minecraft/Paper e di Java, il sistema operativo e il numero di core, la modalità online, quanti giocatori sono online (solo un numero) e il livello di licenza (free/premium/creator). Nessun dato dei giocatori di alcun tipo: niente nomi, niente UUID, niente indirizzi, niente password. Non viene inviato nulla mentre il plugin attende una licenza.

Quante righe ha la finestra. Da 1 a 6.

Il titolo cambia a seconda di cosa si sta facendo.

Conferma da solo appena il PIN è completo. Un clic in meno per chi fa login dieci volte al giorno.