A configuração online-mode é uma das mais importantes no arquivo server.properties — e também uma das mais perigosas de desativar sem entender completamente as consequências. Este artigo explica o que ela faz e por que desativá-la é geralmente uma má ideia.

O que online-mode controla

Quando ativada (configuração padrão), essa opção faz o servidor verificar, junto aos serviços oficiais da Mojang/Microsoft, se o jogador que está tentando se conectar possui uma conta legítima e paga do jogo. Isso é o que garante que apenas jogadores com conta verificada entrem no servidor.

O que acontece ao desativar

Com online-mode desativado, o servidor para de verificar contas junto à Mojang/Microsoft, aceitando qualquer nome de usuário que se conecte, sem confirmação de que aquela pessoa realmente possui uma conta legítima correspondente àquele nome.

Por que isso é arriscado

  • Qualquer pessoa pode se passar por outro jogador, usando o mesmo nome de usuário de alguém real, potencialmente causando confusão, fraude ou dano à reputação daquele jogador dentro da comunidade
  • Perda de identidade única confiável, já que sem verificação, não há garantia de que "Fulano123" conectado agora é a mesma pessoa que jogou com esse nome ontem
  • Abertura para diversos tipos de abuso, incluindo se passar por moderadores ou administradores do próprio servidor usando nomes parecidos ou idênticos

Quase nunca existe boa razão para desativar isso em produção: mesmo os casos de uso legítimos frequentemente citados (testes internos, servidores totalmente privados e isolados) têm alternativas mais seguras. Para qualquer servidor com jogadores reais e públicos, online-mode deveria permanecer sempre ativado.

Casos onde a desativação é discutida (com cautela)

Um cenário legítimo, mas limitado, é testar o servidor localmente antes de expô-lo à internet, sem conexão de rede real disponível para verificar contas. Mesmo nesse caso, é essencial reativar a verificação antes de o servidor ficar acessível publicamente.

Proxy e a relação com online-mode

Em estruturas de rede com proxy (BungeeCord, Waterfall ou Velocity, cobertos em outro artigo deste blog), a verificação de conta geralmente é configurada no proxy, com os servidores de jogo por trás dele configurados para confiar nessa verificação já realizada — uma configuração diferente de simplesmente desativar online-mode em um servidor standalone, e que exige atenção específica para não abrir brechas de segurança.

Sinais de que sua configuração pode estar incorreta

Se jogadores relatam ver "duplicatas" de si mesmos, ou se você nota comportamento estranho de contas que deveriam ser confiáveis mas agem de forma incomum, vale verificar imediatamente se a configuração de online-mode (ou sua equivalente em nível de proxy) está corretamente ativada em toda a estrutura do servidor.