Comment autoriser les cracks sur un serveur Minecraft ?

Contexte

Par défaut, un serveur Minecraft fonctionne en mode en ligne (online-mode=true). Dans cette configuration, le serveur interroge les services d'authentification officiels de Mojang/Microsoft à chaque connexion, et refuse l'accès à tout joueur dont la session n'est pas validée par les serveurs officiels.

Pour autoriser les joueurs utilisant une version non officielle, dite crackée, vous devez passer votre serveur en mode hors-ligne (online-mode=false). Cette même configuration sert aussi de socle technique aux réseaux derrière un proxy (BungeeCord, Velocity). Elle supprime la vérification d'identité native du jeu, ce qui ouvre l'accès à tous les clients mais expose votre serveur tant qu'il n'est pas sécurisé. Ce guide détaille comment l'activer proprement sur votre serveur Winheberg, protéger les accès administrateurs et préserver les données de vos joueurs.

Prérequis

Un serveur Minecraft Java (Spigot, Paper ou Purpur) actif sur votre panel gaming Winheberg
Un accès au gestionnaire de fichiers de votre serveur
Une sauvegarde récente, indispensable avant toute modification de l'identification des joueurs

Activer online-mode=false sur un serveur déjà utilisé en mode officiel change l'identité technique de vos joueurs. Réalisez une sauvegarde complète via l'onglet Backups avant de continuer, car notre équipe ne peut pas restaurer des données qui n'ont pas été sauvegardées.

1. Désactiver la vérification officielle (server.properties)

Cette modification s'effectue dans le fichier de configuration principal de votre serveur.

Connectez-vous à votre panel gaming Winheberg à l'adresse https://panel.winheberg.fr/
Arrêtez votre serveur avant d'éditer les fichiers, pour éviter tout écrasement au redémarrage
Ouvrez l'onglet File manager
Localisez et ouvrez le fichier server.properties
Recherchez la ligne d'authentification réseau

online-mode=true

Passez la valeur sur false

online-mode=false

Enregistrez avec le bouton de sauvegarde ou le raccourci Ctrl + S

Modification de la ligne online-mode dans le fichier server.properties du panel gaming Winheberg

2. Sécuriser les accès administrateurs (obligatoire)

Dès que online-mode=false est actif, votre serveur ne contrôle plus l'identité des comptes. Un utilisateur malveillant peut se renommer pour correspondre exactement à votre pseudo ou à celui d'un modérateur, puis se connecter avec vos privilèges d'administration (OP). La mise en place d'une authentification locale n'est donc pas optionnelle.

Sur les architectures Spigot, Paper ou Purpur, une passerelle d'authentification locale est nécessaire.

Option A, mot de passe avec AuthMeReloaded

C'est la méthode la plus éprouvée pour sécuriser une base de joueurs en mode hors-ligne. Téléchargez AuthMeReloaded depuis sa page officielle (SpigotMC) et déposez le fichier .jar dans le dossier /plugins/ de votre serveur, puis redémarrez pour générer sa configuration.

À la première connexion, le serveur fige le joueur et demande la création d'un mot de passe.

/register <MotDePasse> <ConfirmerMotDePasse>

Lors des sessions suivantes, le joueur s'authentifie pour débloquer son inventaire et ses interactions.

/login <MotDePasse>

Option B, connexion hybride avec FastLogin

Pour améliorer l'expérience des comptes officiels, ajoutez FastLogin (disponible sur SpigotMC). Le plugin détecte si le joueur se connecte depuis un client officiel. Dans ce cas, il valide la session en arrière-plan sans demander de mot de passe. Si le joueur utilise un launcher non officiel, FastLogin bascule automatiquement vers l'authentification locale d'AuthMeReloaded.

3. Comprendre le piège des UUID (inventaires et permissions)

C'est l'erreur la plus fréquente lors d'un passage en mode hors-ligne. Chaque joueur est identifié par une chaîne unique appelée UUID, et la source de cet UUID change selon le mode.

En mode en ligne, l'UUID est fourni par Mojang. En mode hors-ligne, il est calculé localement à partir du pseudonyme du joueur. Ces deux UUID sont différents pour un même joueur.

Si votre serveur tournait en mode officiel et que vous le passez en mode hors-ligne, le serveur génère un nouvel UUID pour chaque joueur. Les inventaires, enderchests et grades rattachés à l'ancien UUID ne sont alors plus reconnus, ce qui se traduit par une apparente perte de données.

Préserver les inventaires

Les données de joueur se trouvent dans /world/playerdata/ sous forme de fichiers .dat nommés d'après l'UUID. Pour conserver un inventaire après le changement de mode, renommez le fichier .dat de l'ancien UUID officiel avec le nouvel UUID hors-ligne du joueur. Travaillez toujours sur une copie de sauvegarde, une erreur de renommage pouvant rendre les données illisibles.

Préserver les permissions

LuckPerms et la plupart des plugins identifient eux aussi les joueurs par UUID. Le même changement d'UUID affecte donc les groupes et permissions attribués. Après le passage en mode hors-ligne, réattribuez les groupes aux joueurs concernés. Pour un réseau derrière un proxy, mettez en place l'IP forwarding afin que les serveurs finaux reçoivent un UUID cohérent, ce qui évite ce décalage.

4. Restaurer l'affichage des skins

En mode hors-ligne, les clients ne chargent plus les textures d'apparence depuis les serveurs de Mojang, et tous les joueurs apparaissent en Steve ou Alex par défaut.

Pour rendre une identité visuelle à vos joueurs, installez le plugin gratuit SkinsRestorer (disponible sur Modrinth ou SpigotMC) dans votre dossier /plugins/.

Une fois configuré, SkinsRestorer permet à chaque joueur d'appliquer le skin de son choix via une commande.

/skin <PseudoDuCompteCible>

5. Compatibilité Bedrock (GeyserMC et Floodgate)

Si vous utilisez Geyser pour accueillir des joueurs sur mobile, console et Windows sur votre serveur Java, le mode hors-ligne demande une attention particulière, car les joueurs Bedrock n'ont pas de compte Java officiel.

Téléchargez les outils sur la page officielle GeyserMC (https://geysermc.org/download) et installez Floodgate aux côtés de GeyserMC
Ouvrez le fichier config.yml de Floodgate
Floodgate ajoute par défaut un préfixe (le caractère .) devant le nom des joueurs Bedrock, ce qui évite les conflits de pseudos avec les joueurs Java. Vous pouvez ajuster ce préfixe dans la configuration

Cas particulier, réseaux de serveurs (BungeeCord et Velocity)

Sur un réseau, online-mode=false s'applique uniquement aux serveurs de jeu finaux (Spigot, Paper). Le proxy (BungeeCord ou Velocity) gère seul l'authentification, et l'IP forwarding doit être activé entre le proxy et les serveurs finaux. Un serveur de jeu final en mode hors-ligne ne doit jamais être joignable directement depuis l'extérieur sans protection, sous peine de contournement du proxy.

En cas de problème

❌ Le message « Invalid Session » apparaît après la modification

Le serveur n'a probablement pas été entièrement relancé après l'édition de server.properties
Arrêtez complètement l'instance depuis le panel, vérifiez la ligne online-mode=false, puis redémarrez
Contrôlez qu'aucune ligne dupliquée online-mode ne subsiste dans le fichier

❌ Des joueurs ont perdu leur inventaire ou leurs grades

Le changement d'UUID est la cause la plus probable, l'ancien identifiant n'étant plus reconnu
Restaurez les inventaires en renommant les fichiers .dat de /world/playerdata/ vers les nouveaux UUID
Réattribuez les groupes de permissions aux joueurs concernés via LuckPerms

❌ Tous les joueurs apparaissent en Steve ou Alex

C'est le comportement normal en mode hors-ligne, les textures n'étant plus chargées depuis Mojang
Installez et configurez SkinsRestorer pour rétablir les skins
Demandez aux joueurs d'appliquer leur skin avec la commande /skin

Bonnes pratiques

Réalisez une sauvegarde via l'onglet Backups avant de modifier le mode d'authentification
Installez une authentification locale comme AuthMeReloaded avant d'ouvrir le serveur au public
Évitez le mode hors-ligne sur un serveur purement Vanilla, sans plugin de protection des accès
Sur un réseau, gardez l'IP forwarding actif pour conserver des UUID cohérents entre les serveurs
Protégez vos serveurs de jeu finaux derrière un pare-feu pour empêcher tout accès direct
Testez la chaîne d'authentification sur un compte secondaire avant d'annoncer l'ouverture

Besoin d'aide ?

Si vous observez des anomalies de reconnexion ou des conflits d'écriture de fichiers sur vos instances, notre support reste à votre disposition pour analyser vos logs. Ouvrez un ticket dans le département Technique en renseignant le serveur concerné dans le champ Related Product, et notre équipe vous accompagnera.

Une ouverture maîtrisée, c'est un serveur accueillant et bien protégé 🔒