Czy Modrinth jest bezpieczny? Modrinth App i Prism Launcher

Published on

Tak, Modrinth jest bezpieczny: skanuje każdy plik i sprawdza nowe projekty. Jego jedyna luka, Modrinth App, Prism Launcher i jak sprawdzić folder mods.

Ośnieżone góry w Minecrafcie o zachodzie słońca, z ogniskiem na pierwszym planie

Masz na oku moda z Modrinth i zanim go pobierzesz, chcesz wiedzieć jedno: czy Modrinth jest bezpieczny i czy razem z modem nie ściągniesz wirusa na komputer albo serwer. Sprawdziliśmy to 3 listopada 2026 roku u źródła: w otwartym kodzie Modrinth na GitHubie, w jego ogłoszeniach i dokumentacji API, a także na stronie i w kodzie Prism Launchera, przez który wielu graczy pobiera mody z Modrinth. Większość źródeł jest po angielsku, więc nazwy przycisków i część cytatów zostawiamy w oryginale.

Krótka odpowiedź: Tak, Modrinth jest bezpieczny do pobierania modów. Każdy wgrany plik, także każda aktualizacja, trafia do własnego skanera złośliwego oprogramowania Modrinth, który dekompiluje kod, a podejrzane znaleziska ocenia człowiek z zespołu. Nowe projekty przed publikacją sprawdzają moderatorzy. Słaby punkt: po zatwierdzeniu projektu nowe wersje są publikowane od razu, bez moderatora. Tak w maju 2024 roku przeszedł mod „Windows Borderless” z malware, jedyny taki przypadek opisany w ogłoszeniach Modrinth; jego pliki pobrało około 372 różnych adresów IP. Modrinth App i Prism Launcher są bezpieczne, jeśli pobierasz je z oficjalnych stron i aktualizujesz. Największe ryzyko to pliki spoza platformy, czyli paczki .mrpack i pliki .jar wysyłane na Discordzie.

Czy Modrinth jest bezpieczny? Co dzieje się z każdym wgranym plikiem

Kod Modrinth jest publiczny na GitHubie: strona i backend na licencji AGPL-3.0, Modrinth App na GPL-3.0. Nie musisz więc nikomu wierzyć na słowo, bo możesz przeczytać, co dzieje się z wgranym plikiem.

  • Każdy plik jest skanowany. Pliki nowych projektów, nowych wersji i pliki dodatkowe trafiają do skanera złośliwego oprogramowania, który Modrinth zbudował sam (w kodzie nazywa się Delphi). Skan rusza, gdy tylko upload zostanie zapisany, a skaner dekompiluje pliki Java.
  • Podejrzane znaleziska ocenia człowiek. Pracownik Modrinth oznacza każde z nich jako bezpieczne albo niebezpieczne. Werdykt „unsafe” odrzuca projekt i ukrywa go przed wszystkimi.
  • Nowe projekty sprawdza moderator. Twórca nowego projektu dostaje komunikat, że projekt „will be scanned and then reviewed by human moderators”, czyli zostanie przeskanowany, a potem sprawdzony przez moderatorów pod kątem regulaminu.
  • Regulamin zakazuje typowych sztuczek. Content Rules, ostatnio zmienione 13 sierpnia 2026 roku, zabraniają między innymi udawania, że projekt pochodzi od innej osoby albo firmy lub ma jej poparcie, oraz wysyłania jakichkolwiek danych na zdalny serwer bez wyraźnej informacji.
  • Każdy może zgłosić projekt. Projekty mają przycisk Report, a jednym z powodów do wyboru jest „Malicious”.

Słaby punkt: aktualizacje nie czekają na moderatora

Moderator ogląda projekt raz, przy pierwszym zgłoszeniu. Po zatwierdzeniu nowa wersja moda jest dostępna od chwili, gdy twórca ją wgra, a skan zaczyna się dopiero po zapisaniu pliku. Mod, który w styczniu był czysty, może więc dostać malware w czerwcowej aktualizacji, a ludzie mogą go pobierać, dopóki nie wyłapie go skaner, zespół albo zgłoszenie użytkownika.

Dokładnie tak było w 2024 roku. Oto przebieg według raportu Modrinth z 7 maja 2024:

Data (2024)Co się stało
29 kwietniaProjekt „Windows Borderless” trafia do weryfikacji z jednym plikiem, w którym nie ma malware
30 kwietniaModeratorzy zatwierdzają projekt
2 majaNowa wersja wysyła dane identyfikujące komputer użytkownika na webhook Discorda
4 do 6 majaKolejne wersje dokładają kradzież danych logowania i tokenów
6 maja, 7:21Użytkownik zgłasza projekt: po użyciu moda przejęto jego konto Discord
6 maja, 10:37Zespół dekompiluje moda i w ciągu kilku minut usuwa projekt, wszystkie linki do jego plików i wszystkie inne projekty tych samych użytkowników

Malware działało tylko na Windowsie i kradło dane, które Discord oraz przeglądarki, takie jak Chrome, Edge, Opera, Brave i Firefox, trzymają na komputerze: mogły to być tokeny kont, zapisane hasła i dane bankowe. Zainfekowane pliki pobrało około 372 różnych adresów IP, żaden z nich nie trafił do modpacka na Modrinth, a Modrinth opublikował ich sumy SHA-1. Dziś każdą aktualizację sprawdza opisany wyżej skaner, choć moderator nadal jej nie zatwierdza.

Czy Modrinth ma wirusy?

Malware już raz dostało się na Modrinth i może się to powtórzyć, ale jedyny ujawniony przypadek zniknął kilka godzin po pierwszym zgłoszeniu. Na stronie z ogłoszeniami Windows Borderless to wciąż jedyny raport o malware (stan na 3 listopada 2026). Dwie uwagi:

  • Raport to nie statystyka. Na tej stronie są tylko incydenty, które Modrinth opisał. Projekt, który oznaczy skaner i odrzuci zespół, po prostu znika, bez wpisu.
  • fractureiser nie dotarł na Modrinth. Ten wirus z czerwca 2023 roku siedział w projektach na CurseForge i BukkitDev. Według polskiej wersji dokumentacji zespołu, który go badał, Modrinth przeskanował pliki z 10 miesięcy wstecz i nie znalazł zainfekowanych projektów. Autorzy dodają, że „to była czysta kwestia szczęścia”, i piszą wprost: „Modrinth jest tak samo bezpieczny jak CurseForge”.

A twój antywirus? CurseForge pisze w raporcie po ataku, że fractureiser infekował wyłącznie pliki modów i dzięki temu omijał wszystkie komercyjne antywirusy („evading detection by all commercial anti-virus software”). Czysty wynik skanu niewiele więc dowodzi. Sam alarm też niczego nie przesądza: formularz zgłoszeń Modrinth wymaga przy zgłoszeniu malware konkretnych dowodów, na przykład fragmentów kodu, i nie przyjmuje podsumowań z Microsoft Defender, VirusTotal ani wykrywania przez AI. Traktuj alarm jako powód, by usunąć plik i przyjrzeć mu się bliżej.

Czy Modrinth App jest bezpieczna?

Tak, jeśli pobierasz ją z modrinth.com/app. Ma otwarty kod na licencji GPL-3.0, nadal jest oznaczona jako beta, a 3 listopada 2026 roku wyszła wersja 0.23.0. W 2026 roku aplikacja dostała ostrzeżenia przed plikami spoza Modrinth:

  • Od wersji 0.13.7 (29 kwietnia 2026) ostrzega przed instalacją nieznanego pliku modpacka, żeby nikt nie dał się podejść i nie zainstalował malware.
  • Od wersji 0.15.11 (14 lipca 2026) ostrzega też przed pojedynczym plikiem moda, którego nie ma na Modrinth. Ostrzeżenie o paczce pokazuje listę obcych plików, a głównym przyciskiem jest rezygnacja z instalacji. Modrinth tłumaczy to tak: „Malware is often distributed through mod files by sharing them on platforms like Discord”, czyli malware często krąży jako pliki modów wysyłane na Discordzie i podobnych platformach.
  • Zaproszenia do wspólnych instancji mają dopisek, że wysłał je inny użytkownik, a nie Modrinth, i że warto je przyjmować tylko od zaufanych osób. Od wersji 0.22.0 (21 października 2026) do wspólnej instancji nie da się wypchnąć plików wykonywalnych, a od 0.23.0 zaproszenie jest przyjmowane dopiero wtedy, gdy w podglądzie klikniesz Install.

W ustawieniach jest przełącznik „Warn me before installing unknown modpacks”. Zostaw go włączonego. Aktualizuj też samą aplikację: wersje 0.10.9 i 0.10.16 z października 2025 roku łatały luki w imporcie plików .mrpack. Instalację krok po kroku opisuje nasz poradnik Modrinth App (po angielsku).

Czy Prism Launcher jest bezpieczny?

Tak, pod dwoma warunkami: pobierasz go z prismlauncher.org, z wydań na GitHubie albo z menedżera pakietów wymienionego na tej stronie, i aktualizujesz go. 3 listopada 2026 roku najnowsza była wersja 11.1.1 z 28 września 2026.

  • Otwarty kod, za darmo. Kod Prism Launchera jest na GitHubie na licencji GPL-3.0. Strona projektu zaznacza też, że Prism nie jest powiązany z Mojang ani z Microsoftem.
  • Hasło zostaje u Microsoftu. Prism otwiera stronę logowania Microsoftu (login.microsoftonline.com) w przeglądarce albo daje ci kod do wpisania na stronie Microsoftu. Hasła nie wpisujesz w launcherze.
  • Podpisane wersje. Skrypty budujące podpisują wersje na Windows przez usługę podpisywania Microsoft Azure, wersje na macOS certyfikatem Apple (z notaryzacją), a AppImage na Linuksa kluczem GPG.
  • Luki są ogłaszane publicznie. Na stronie z poradami bezpieczeństwa są trzy załatane luki z lat 2023 i 2024. Najnowszą lukę, przez którą złośliwy modpack z CurseForge mógł przenosić i usuwać pliki, usunęła wersja 11.1.1. Prism zapowiedział szczegóły „in the upcoming week”, ale 3 listopada 2026 roku na GitHubie wciąż nie było dla niej wpisu.

Wszystkie te luki wchodziły przez modpack ze złośliwymi albo podmienionymi plikami. Rada samego Prism: brać modpacki prosto z Modrinth albo CurseForge, a paczek z Discorda unikać, chyba że sam sprawdzisz, że są bezpieczne. Od wersji 11.1.0 Prism ostrzega przed niezaufanymi modami, gdy ręcznie importujesz plik modpacka z Modrinth albo CurseForge. W styczniu 2026 roku Prism ostrzegł, że stary link discord.gg/prismlauncher nie należy już do niego i był używany do kradzieży kont Minecraft. Discord zarezerwował potem ten link, więc nikt nie może go już przejąć. Korzystaj z linku na prismlauncher.org i nie ufaj serwerom, które przed wejściem każą ci „połączyć” albo zweryfikować konto Minecraft.

Prism to launcher do kupionej kopii Minecrafta. Konto offline dodasz dopiero wtedy, gdy masz już konto Microsoft z Minecraftem, więc nie jest to sposób na grę bez kupowania. Na Windowsie zainstalujesz go przez WinGet:

winget install --exact PrismLauncher.PrismLauncher

Jeśli pobierasz instalator ze strony, kliknij go prawym przyciskiem, wybierz Właściwości i otwórz kartę Podpisy cyfrowe. Brak tej karty oznacza, że plik nie jest podpisany: usuń go i pobierz ponownie z prismlauncher.org. Pełną historię luk i porównanie z TLauncherem znajdziesz w tekście Prism Launcher vs TLauncher (po angielsku).

Jak sprawdzić folder mods na serwerze

Serwer ładuje każdy plik .jar z folderu mods, a na Paperze także z plugins. Każdy z nich ma taki sam dostęp do plików jak sam serwer. Jeśli przejmujesz serwer po kimś albo wgrywasz paczkę z ZIP-a od znajomego, porównaj każdy plik z tym, co publikuje Modrinth: policz sumę SHA-1 pliku i zapytaj API Modrinth, czy zna taki plik.

  1. Pobierz folder. Skopiuj mods (i plugins) na komputer przez SFTP albo menedżer plików w panelu. Na serwerze Minecraft w Space-Node masz do tego menedżer plików w przeglądarce i dostęp SFTP.
  2. Uruchom sprawdzanie. Otwórz terminal w folderze, w którym leży mods, i wpisz:
cd mods
for f in *.jar; do
  h=$(sha1sum "$f" | cut -d ' ' -f 1)
  code=$(curl -s -o /dev/null -w '%{http_code}' -A "mod-check-yourname" \
    "https://api.modrinth.com/v2/version_file/$h?algorithm=sha1")
  echo "$code $h $f"
  sleep 0.25
done

Na Macu zamień sha1sum na shasum -a 1. Na Windowsie otwórz PowerShell w tym samym folderze i wpisz:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Get-ChildItem .\mods -Filter *.jar | ForEach-Object {
  $file = $_
  $hash = (Get-FileHash -LiteralPath $file.FullName -Algorithm SHA1).Hash.ToLower()
  try {
    $null = Invoke-WebRequest "https://api.modrinth.com/v2/version_file/${hash}?algorithm=sha1" -UseBasicParsing -UserAgent "mod-check-yourname"
    $code = 200
  } catch {
    $code = [int]$_.Exception.Response.StatusCode
  }
  "$code $hash $($file.Name)"
  Start-Sleep -Milliseconds 250
}
  1. Odczytaj wynik. 200 znaczy, że plik jest bajt w bajt plikiem opublikowanym na Modrinth. Otwórz w przeglądarce adres z sumą tego pliku: pola name i project_id pokażą, której wersji moda odpowiada, więc sprawdzisz, czy to ten mod, o którym myślisz. 404 znaczy, że Modrinth nie zna dokładnie tego pliku. To normalne dla modów, które są tylko na CurseForge, i dla plików z paczek serwerowych, ale tak samo wygląda podmieniona kopia. W naszym teście 3 listopada 2026 roku dopisanie jednego bajtu do oryginalnego pliku Fabric API zmieniło 200 na 404.
  2. Wyjaśnij każde 404. W paczce z Modrinth otwórz plik .mrpack jak ZIP: modrinth.index.json wymienia każdy pobierany mod z jego sumami i linkiem do pobrania, a resztę paczka przynosi w folderach overrides i server-overrides. Dla moda z CurseForge pobierz tę samą wersję z zakładki Files na stronie moda i porównaj obie sumy.
  3. Usuń to, czego nie umiesz wyjaśnić. Zatrzymaj serwer, przenieś plik poza folder, przywróć kopię zapasową sprzed jego pojawienia się i zmień hasła do panelu i SFTP. Potem zgłoś projekt i opisz, co znalazłeś.

Zasady API Modrinth pozwalają na 300 zapytań na minutę i wymagają nagłówka User-Agent, który cię identyfikuje, więc w miejsce yourname wpisz własną nazwę. Krótka przerwa w pętli trzyma nawet duży modpack poniżej limitu.

Modrinth czy CurseForge: co jest bezpieczniejsze?

Żadna z platform nie jest wyraźnie bezpieczniejsza. CurseForge przepuszcza każdy plik przez ponad tuzin automatycznych testów, w tym kilka skanów antywirusowych, a Modrinth przez własny skaner, który dekompiluje kod. Na obu zdarzył się też głośny przypadek malware: na Modrinth Windows Borderless (maj 2024, około 372 adresów IP), na CurseForge fractureiser (czerwiec 2023, według CurseForge około 6500 pobrań). O wyborze niech decydują mody, których potrzebujesz. Więcej w tekstach Modrinth vs CurseForge i Is CurseForge safe? (po angielsku).

Bezpieczne nawyki na każdej platformie

  1. Pobieraj z oficjalnej strony projektu albo w Modrinth App, nigdy z reuploadów, mirrorów ani wiadomości na Discordzie.
  2. Sprawdź autora, wiek projektu i liczbę pobrań. Prawie identyczna nazwa z kilkuset pobraniami obok popularnego moda to sygnał ostrzegawczy.
  3. Przed aktualizacją przejrzyj listę wersji. Wydanie po długiej przerwie może poczekać kilka dni.
  4. Wybieraj mody z linkiem do kodu źródłowego i nigdy nie otwieraj pliku .mrpack ani .jar od nieznajomego.
  5. Zrób kopię świata, zanim dodasz mody do istniejącej mapy.

FAQ

Czy Modrinth jest bezpieczny w 2026 roku? Tak. Każdy wgrany plik, także aktualizacje, przechodzi przez skaner Modrinth, a podejrzane znaleziska sprawdza zespół. Nowe projekty przed publikacją ocenia moderator. Jedyny opisany przypadek malware, Windows Borderless z maja 2024 roku, zespół usunął w kilka minut od chwili, gdy zajął się zgłoszeniem.

Czy mody z Modrinth mogą mieć wirusy? Mogą: mod to kod Java z takim samym dostępem do plików jak sam Minecraft. Jeśli uruchomiłeś moda, któremu już nie ufasz, zamknij grę, usuń moda i przeskanuj komputer antywirusem. Z innego urządzenia zmień hasła do konta Microsoft, Discorda, poczty i wszystkiego, co masz zapisane w przeglądarce, i obserwuj konto bankowe: właśnie takie dane kradł Windows Borderless. Potem zgłoś projekt na Modrinth.

Czy Modrinth App jest bezpieczna? Tak, jeśli pobierasz ją z modrinth.com/app i aktualizujesz. Ma otwarty kod i ostrzega przed paczkami i modami, których nie ma na Modrinth. Nie wyłączaj ostrzeżenia „Warn me before installing unknown modpacks”.

Czy Prism Launcher jest bezpieczny? Tak, jeśli pobierasz go z prismlauncher.org albo z menedżera pakietów wymienionego na tej stronie i masz najnowszą wersję (3 listopada 2026: 11.1.1). Logujesz się na stronie Microsoftu, więc launcher nie widzi twojego hasła, a modpacki najlepiej instalować prosto z Modrinth albo CurseForge.

Czy Modrinth jest legalny i wiarygodny? Tak. Modrinth prowadzi firma Rinth, Inc., serwis wystartował w wersji beta w grudniu 2020 roku i według publicznych statystyk ma ponad 166 000 projektów (3 listopada 2026). Od lutego 2026 roku należy do Spark Universe, firmy stojącej za modem Essential. Ogłaszając to w czerwcu, Modrinth obiecał, że zostanie open source i nie połączy się z Essential.

Źródła

Wszystkie otwarte 3 listopada 2026: