FiveM escrow a licencování assetů

Placený FiveM resource koupený přes systém asset escrow od Cfx.re se přidělí účtu Cfx.re a běží jen na serveru, jehož licenční klíč patří stejnému účtu. Kód je zašifrovaný (ve složce resource je soubor .fxap), upravit jde jen soubory, které tvůrce uvedl v escrow_ignore - obvykle konfiguraci - a server při startu ověřuje nárok u Cfx.re. Tohle jediné pravidlo vysvětluje skoro každý problém s escrow: resource, který „najednou přestal fungovat“, je téměř vždy případ klíče, který teď patří jinému účtu, než který skript koupil. Tento návod popisuje, jak se nákup dostane na tvůj server, který účet má co vlastnit, co můžeš měnit, jak fungují převody, jaké licence mají volné resources a proč uniklé skripty vyjdou dráž, než kolik ušetří.

Co je escrow#

FiveM resources jsou na disku obyčejné Lua nebo JavaScript. Před escrow se dalo cokoli prodávaného zkopírovat a šířit už v den vydání a trh s placenými resources byl většinou trhem s leaky. Asset escrow od Cfx.re je řešení: tvůrci nahrají resource, Cfx.re zašifruje části, které tvůrce vybere, a kupující dostane verzi, která běží jen jemu.

V praxi to znamená:

• Nákupy probíhají přes Tebex a jsou navázané na účet Cfx.re kupujícího.
• Asset se objeví na účtu kupujícího na portálu Cfx.re (dříve keymaster), odkud se stáhne jako zip.
• Složka resource obsahuje soubor `.fxap` a zašifrované soubory Lua, které se v editoru nedají přečíst.
• Při startu server dokazuje, že jeho klíč patří účtu s nárokem. Pokud ne, resource se odmítne načíst a konzole napíše, že na něj nemáš nárok.
• Soubory uvedené v `escrow_ignore` zůstávají čitelným textem, takhle tvůrci dodávají upravitelné konfigurace, lokalizace a někdy i klientský kód.

Escrow chrání kód, ne assety jako modely: .yft vozidla streamovaný všem klientům jde pořád vytáhnout z klientské cache. Proto se u obsahu plného modelů často šifrují hlavně skripty kolem nich.

Jak se nákup dostane na tvůj server#

1. Kup resource v obchodě tvůrce na Tebexu, přihlášený účtem Cfx.re, pod kterým chceš server provozovat.
2. Na portálu Cfx.re ho najdi mezi přidělenými assety a stáhni ho.
3. Nahraj složku do resources jako každý jiný resource a přidej ensure name do server.cfg. Na panelovém hostingu to zařídí správce souborů nebo SFTP; podrobnosti jsou v SFTP a správce souborů.
4. Spusť server s licenčním klíčem ze stejného účtu.

U kroku 1 začínají problémy. Člen týmu koupí skript na svůj účet „pro server“, klíč patří účtu majitele a skript nikdy nenaběhne. Přidělení je vázané na účet a klíč určuje, kterým účtem server je.

Který účet má vlastnit klíč#

Protože každý escrow nákup následuje účet klíče, je účet, který klíč vlastní, fakticky majitelem placeného obsahu serveru. Rozhodni to promyšleně dřív, než cokoli koupíš.

U čehokoli většího než malý soukromý server je rozumná volba vyhrazený účet Cfx.re pro projekt: všechny nákupy se dělají na něm, licenční klíč se vydává z něj a přihlášení drží dva lidé, kteří si důvěřují, se zapnutým dvoufaktorovým ověřením. Když spolumajitel odejde, skripty serveru neodejdou s ním. Dvoufaktorové ověření na účtu panelu obecně vysvětluje, proč chránit účty, na kterých všechno závisí.

Jeden účet může mít několik klíčů a escrow asset přidělený účtu běží na libovolném serveru s libovolným klíčem tohoto účtu. Takhle provozuješ vývojový server vedle ostrého se stejnými skripty: vydáš druhý klíč ze stejného účtu. Vytváření klíčů popisuje nastavení FiveM serveru.

Veď si evidenci toho, co vlastníš

Jakmile má server víc než hrstku placených resources, veď jednoduchý záznam - tabulku nebo připnutý dokument pro tým - s jedním řádkem na asset:

• název resource a tvůrce;
• kde byl koupen, datum a ID transakce na Tebexu;
• který účet Cfx.re drží přidělení;
• verze, kterou provozuješ, a kde je uložený stažený zip;
• zda je jeho konfigurace upravitelná a co jsi v ní změnil.

Zabere to pět minut na nákup a ušetří hodiny později. Když se resource po aktualizaci rozbije, víš, kterého tvůrce kontaktovat a s jakým důkazem. Když odejde spolumajitel, víš, která přidělení jsou na čím účtu. A když se někdo zeptá, jestli na serveru neběží nic uniklého, odpovíš seznamem místo pokrčení ramen.

Samotný klíč je přihlašovací údaj. Patří do server.cfg pod sv_licenseKey, nebo lépe do malého souboru, který server.cfg spouští a který server nikdy neopustí. Kdokoli, kdo ho má, může spustit server pod tvým účtem a s ním i tvé zakoupené resources.

Co můžeš a nemůžeš měnit#

fxmanifest.lua escrow resource vypisuje, co zůstává čitelné:

fx_version 'cerulean'game 'gta5'lua54 'yes'shared_script 'config.lua'client_scripts { 'client/*.lua' }server_scripts { 'server/*.lua' }escrow_ignore {    'config.lua',    'locales/*.lua',    'client/editable.lua',}

Všechno v escrow_ignore je čistý text a můžeš to upravovat. Všechno ostatní je zašifrované. Dobří tvůrci dávají do ignorovaných souborů to, co budeš chtít měnit - ceny, souřadnice, funkce pro napojení na framework, notifikace. Špatní zašifrují všechno a nechají ti konfiguraci o třech volbách.

Co z toho plyne při nákupu:

• Zeptej se, co je otevřené, ještě než zaplatíš. Resource, jehož napojení na framework je v upravitelném souboru, se dá přizpůsobit, když se framework aktualizuje. U toho, jehož napojení je zašifrované, čekáš na tvůrce.
• Chyby v zašifrované části opravuje tvůrce. Můžeš je nahlásit s logy a profilem, víc ne. Výkon FiveM serveru ukazuje, jak vytvořit důkazy, se kterými tvůrce nemůže polemizovat.
• Nepřejmenovávej složku resource, pokud tvůrce neřekne, že je to bezpečné. Některé escrow resources kontrolují vlastní název.
• Aktualizace jsou nová stažení. Když tvůrce vydá opravu, stáhni novou verzi z portálu, přenes své upravené ignorované soubory a nahraď složku.

Uchovávej každou stáhnutou verzi. Escrow resource, který jsi lokálně smazal, jde stáhnout znovu jen tak dlouho, dokud existuje přidělení a nabídka tvůrce. Zálohy, které se opravdu obnoví platí pro složku s resources stejně jako pro databázi.

Převody a změna majitele#

Servery mění majitele, spolumajitelé se rozejdou, projekty se stěhují na nový účet. Escrow assety jsou ta část, která se kopírováním souborů nepřesune.

Možnosti, od nejčistší:

1. Nech účet a změň, kdo ho drží. Pokud projekt už používá vyhrazený účet, změna majitele je výměna hesla a zařízení pro dvoufaktorové ověření. Nic dalšího se nepřesouvá.
2. Použij funkci převodu od Cfx.re. Portál nabízel možnost převést přidělené assety na jiný účet, podle pravidel Cfx.re a podle toho, zda to tvůrce povolí. Dostupnost a limity se v čase měnily, takže u každého assetu zkontroluj, co portál nabízí, než někomu slíbíš předání.
3. Zeptej se tvůrce. Mnoho tvůrců licenci přesune při skutečné změně vlastníka, pokud je kontaktuješ s dokladem o nákupu.
4. Kup znovu. Záložní řešení a důvod, proč mít možnost 1 správně hned na začátku.

Přesun serveru na jiný hosting se tohoto netýká. Klíč a jeho assety patří účtu, ne stroji, takže stejný klíč na novém hostingu spustí stejné skripty, jakmile se případně aktualizují registrované údaje klíče, pokud to tvé nastavení vyžaduje. Zbytek té práce pokrývá přesun serveru bez ztráty hráčů.

I open-source resources mají licence#

Ne všechno je v escrow. Hlavní frameworky a velká část ekosystému kolem nich jsou open source a open source je licence, ne absence licence.

• ESX Legacy a QBCore jsou vydané pod GPL-3.0, stejně jako mnoho resources pro ně. Knihovny Overextended, například ox_lib, používají také licence z rodiny GPL. Zkontroluj soubor LICENSE v každém repozitáři; liší se.
• GPL ti dovoluje kód spouštět, upravovat a sdílet. Pokud šíříš upravenou verzi - prodáváš ji, publikuješ - platí pro to, co šíříš, podmínky GPL, včetně sdílení zdrojového kódu pod stejnou licencí.
• Provozovat upravený GPL resource na vlastním serveru, aniž bys ho šířil, je běžné použití.
• Vzít cizí volný GPL resource, zašifrovat ho a prodávat přes escrow je porušení licence a častý zdroj sporů.

Prakticky pro majitele serveru: nech licenční soubory ve složkách, které instaluješ, uváděj autory, když publikuješ změny, a nekupuj „prémiové verze“ volných resources od lidí, kteří je nenapsali.

Uniklé resources#

Leak weby šíří escrow resources s odstraněnou ochranou a právě uniklé resources jsou místem, kde se kompromituje většina FiveM serverů. Cena není jen etická:

• Zadní vrátka. Uniklé resources běžně obsahují pár řádků, které stáhnou a spustí kód ze vzdálené adresy. Tvůrce leaku si díky nim může dát admina, vytáhnout databázi nebo ukrást tvůj licenční klíč. Typický vzorec je PerformHttpRequest následované load nad odpovědí; vyhledej ho a zbytek metody si přečti v udržování modovaného serveru čistého.
• Tvůj klíč. Cfx.re může klíče odvolat a zakročit proti účtům za provoz obsahu v rozporu s podmínkami. Odvolání následuje účet, takže s sebou vezme každý klíč i každý legitimní nákup na něm.
• Žádné aktualizace. Leak je zamrzlý na verzi, kterou někdo zbavil ochrany. Když se framework posune, rozbije se a nikdo ho neopraví.
• Žádná podpora. Tvůrci s uniklými kopiemi nepomáhají a poznají je.

Pokud zdědíš server plný resources neznámého původu, zacházej s ním jako s každým serverem, který mohl být kompromitovaný: co dělat, když ti hacknou server udává pořadí - izolovat, vyměnit všechny přihlašovací údaje včetně licenčního klíče a hesla k databázi, pak postavit znovu z čistých zdrojů.

Prodej na vlastním serveru#

Escrow se týká toho, co kupuješ. Na to, co prodáváš hráčům, se vztahují vlastní pravidla Cfx.re pro majitele serverů, která směrují monetizaci přes Tebex a omezují, co se smí prodávat - prodej obsahu, ke kterému nemáš práva, nebo herních výhod v určitých podobách, může vést k odvolání klíče. Pravidla se už několikrát změnila, takže si před otevřením obchodu přečti aktuální znění na webu Cfx.re a obecný obrys napříč hrami najdeš v monetizaci herního serveru v rámci pravidel.

Řešení potíží#

„You lack the required entitlement“ u resource. Licenční klíč serveru patří účtu, který asset nevlastní. Zkontroluj, který účet ho koupil a který účet vydal klíč.

Escrow resources fungovaly včera a dnes selhávají. Klíč se změnil: byl znovu vygenerován, nahrazen klíčem z jiného účtu nebo odvolán. Nebo se server při startu nedokáže spojit s Cfx.re kvůli ověření.

Escrow resource selže po aktualizaci nebo downgradu FXServeru. Escrow potřebuje přiměřeně aktuální build serveru. Používej doporučený build, jak popisují aktualizace FiveM serveru.

Nákup nenajdeš na portálu. Byl koupen na jiném účtu Cfx.re nebo byl nákup na Tebexu proveden bez propojení účtu. Kontaktuj tvůrce s ID transakce.

Upravené soubory se po aktualizaci vrátily zpět. Nahradil jsi složku a přepsal své soubory z escrow_ignore. Měj kopii upravených konfigurací mimo resource.

FAQ#

Můžu escrow FiveM skript provozovat na dvou serverech?

Ano, pokud oba servery používají licenční klíče vydané z účtu, který asset vlastní. Jeden účet může mít několik klíčů a přidělení platí pro všechny.

Může mi hosting dodat licenční klíč pro escrow resources?

Ne. Klíč musí pocházet z účtu Cfx.re, který vlastní tvé assety, proto FiveM hostingy chtějí, abys přinesl vlastní. Klíč z cizího účtu by tvé nákupy nespustil.

Můžu escrow resource upravovat?

Jen soubory, které tvůrce uvedl v escrow_ignore, obvykle konfigurace a lokalizace. Všechno ostatní je zašifrované. Před nákupem se zeptej, které části jsou upravitelné.

Co se stane s mými skripty, když server prodám?

Zůstanou na účtu Cfx.re, který je koupil. Buď předáš celý účet, použiješ převod tam, kde to portál a tvůrce dovolí, nebo si nový majitel koupí vlastní licence.

Jsou uniklé FiveM skripty bezpečné, když je proskenuju?

Skenování najde známé vzorce, ne všechno. Leaky jsou častou cestou pro zadní vrátka a jejich provoz ohrožuje tvůj licenční klíč i účet Cfx.re. Úspory za to málokdy stojí.