Moddingflow это сообщество для модов, сборок, гайдов и обсуждений по играм. Здесь можно искать материалы, публиковать свои работы, задавать вопросы и читать ответы других участников.
Основные разделы находятся на форуме, а список игр и категорий можно открыть через страницу всех игр.
Основные документы лежат в открытом доступе: правила сайта, условия использования, политика конфиденциальности и политика cookie. Эти ссылки открываются на выбранном языке сайта.
Один нормализованный IP, подтверждённый доверенным proxy, считается одним приблизительно уникальным посетителем за выбранное скользящее окно независимо от аккаунта, браузера и устройства. Общий IP может объединить нескольких людей, а смена IP — посчитать одного человека повторно.
Сервер сразу преобразует IP в HMAC-SHA256-псевдоним: сырой IP не сохраняется, а новое cookie или другое browser storage не создаётся. Сессии хранятся 731 день. Это псевдонимизированные, а не анонимные данные; подробности находятся в политике конфиденциальности и политике cookie.
Да. Обычные curl, python-requests, undici и другие стандартные HTTP-клиенты могут анонимно просматривать и искать каталог, читать моды, версии и файлы, получать план установки и разрешать публичное скачивание. Не нужны аккаунт разработчика, API key, регистрация OAuth-клиента, специальный User-Agent, X-Moddingflow-* headers или access token. OAuth включается одной кнопкой только когда инструмент действует от имени вошедшего пользователя, например читает профиль или выполняет запись; приложение само регистрирует public client и управляет токенами без их копирования пользователем. В v1 также доступны загрузки авторов, webhooks и Agent Gateway tools. Сессии загрузки предоставляют status/complete/abort lifecycle endpoints и async job processing через GET /v1/uploads/{upload_id}. Пагинация каталога использует cursor-first keyset pagination с opaque v1 tokens, привязанными к resource, normalized filters и first-page insertion snapshot; изменение контекста возвращает 400.
Успешный version write подтверждает committed private/no-store результат. Anonymous catalog/version GET revalidate-ит shared cache при каждом повторном использовании; catalog freshness имеет p95 SLO 15 секунд, search index — 30 минут. Для Mod/ModVersion PATCH передавайте strong ETag в If-Match: без него ответ 428, при stale validator — 412 с текущим ETag. Download resolve до provider signing ограничивает concurrency до 2 anonymous или 4 authenticated leases на actor и 16 на client. Cached PublicModVersion artifact expansion требует scan_status=clean, lifecycle=ready и publication state=published и остаётся eventual. Direct download resolve и install plan — private point-in-time reads по eligible target, чьё established DB state может быть approved или published; direct targets не являются published-only или legacy-only. Upload status показывает current DB state на момент запроса, worker transitions eventual, а progress.available=false означает unknown, не zero. Webhooks feature-gated: когда они включены, delivery eventual, at-least-once, replayable и unordered; пока любой gate выключен, delivery не обещается.
Текущий статус, доступные endpoints и будущие правила интеграции собраны на странице API.
Upload API нужен авторам, командам, CI pipelines и tools, которым нужен Publish to Moddingflow без прохода через browser form на каждом release. Соберите архив локально или через GitHub Actions, загрузите его direct-to-cloud, дождитесь scan/validation и публикуйте new version только после статуса ready.
Используйте individual API keys или OAuth/PAT tokens вместо шаринга main account password. Перед созданием session CI может вызвать POST /v1/uploads:validate: validate-only проверка не создает upload и не пишет bytes. Используйте один стабильный Idempotency-Key на логическую загрузку: retry с тем же body возвращает ту же durable reservation без повторного списания byte quota, а изменённый body конфликтует. Большие архивы используют resumable multipart upload в Cloudflare R2: опрашивайте status.progress и completedParts, обновляйте URL только для missing parts и продолжайте ту же session до 48 часов, пока каждая signed URL остается короткоживущей. Если файл не пройдет validation, упрется в quota, повторит existing version или уйдет в quarantine/review, client получит machine-readable status, error code вроде duplicate_version и request_id для support; отмененная session возвращает lifecycleStatus cancelled. В production отсутствие clean malware verdict блокирует публикацию: опасные, заражённые, зашифрованные или структурно враждебные архивы отклоняются, а лимиты движка, сбои scanner и другие неопределённые результаты остаются в private quarantine до MFA-проверки staff. Account inbox может уведомить автора о транспортной ошибке, checksum mismatch и успешной публикации, но обнаружение вредоносного файла и недоступность scanner показываются только через lifecycle/card state; администраторы получают отдельные закрытые review-уведомления. Приход уведомления не является lifecycle acknowledgement, поэтому client должен продолжать polling machine-readable status.
Когда complete возвращает AsyncJob, сервис сначала изолирует загруженные bytes в private server-only seal; checksum, validation, scan и final copy читают этот immutable seal, а не client-writable staging key. Seal key не выдаётся клиенту и не требует управления. Опрашивайте job.statusEndpoint: queued и processing являются non-terminal; succeeded, rejected, failed и cancelled являются terminal. job.progress честно показывает completion 0/1 вместо примерного scanner percentage. Для диагностики ожидания и retry используйте createdAt, updatedAt, startedAt, completedAt, retry.attempt, retry.maxAttempts, retry.nextAttemptAt, retry.retryable и Retry-After. Terminal failure возвращает стабильный reason code, но не raw provider prose.
Для automation важен и HTTP-статус complete: queued или processing возвращаются как 202 Accepted с Location, равным job.statusEndpoint. Уже terminal job, включая replay того же завершённого результата с исходным Idempotency-Key, возвращается как 200 OK без повторения операции.
Каждый team member создает собственный resource-scoped key через POST /v1/api-keys и не получает owner session cookie. Create и rotate требуют Idempotency-Key. Повтор с тем же header и тем же request не выполняет credential mutation второй раз; поскольку raw secret никогда не сохраняется, завершённый replay возвращает idempotency_replay_unavailable без operation-shaped committed metadata. Проверьте key через GET /v1/api-keys или revoke его до новой mutation. Raw secret показывается one-time, сервер хранит только token_hash и safe fingerprint; GET /v1/api-keys/capabilities показывает scopes и projects. Роли owner, maintainer, publisher и reviewer ограничивают mods:write, versions:write, files:upload, versions:publish, versions:archive, files:manage и teams:admin. Rotation выполняется через POST /v1/api-keys/{api_key_id}/rotate, revoke - через DELETE /v1/api-keys/{api_key_id}, а last_used_at и key id/fingerprint остаются в audit без secret.
Не передавайте один owner key, owner password или session cookie. Выдавайте каждому участнику individual resource-scoped key для нужного мода с smallest scopes, необходимыми его роли. Назначайте доступ owner, maintainer, publisher или reviewer в Настройки > Для разработчиков. raw secret показывается one-time.
Проверяйте last_used_at и safe key fingerprint, используйте rotate при плановой замене и сразу revoke ключ при подозрении на утечку или после ухода участника. Audit records связывают действие с actor и key, но не хранят и не показывают secret.
Интеграция может вызвать private no-store GET /v1/me собственным ключом аккаунта, чтобы подтвердить тип, id, safe fingerprint, scopes и resource-scope mode предъявленного credential. Эта самопроверка никогда не возвращает raw secret и не разрешает просматривать, создавать, ротировать или отзывать другие credentials.
Не публикуйте, не переименовывайте и не перепаковывайте архив, чтобы обойти failed scan. Отклонённый или сомнительный файл остаётся private со статусом failed или quarantined/review. Откройте Настройки > Для разработчиков или вызовите GET /v1/uploads/{upload_id}, затем сохраните supportCorrelationId (также X-Upload-Correlation-Id), request_id, trace_id и error code вроде av_scan_rejected для support. Correlation id безопасно передать support, но он не заменяет авторизацию.
Заведомо опасные или заражённые архивы отклоняются. Файлы, которым нужны дополнительные доказательства, остаются private до manual review. Следуйте recovery details из ответа, дождитесь review, если он запрошен, и создавайте new session только после исправления найденной проблемы в source или архиве.
Оба пути используют same upload-session backend, private Cloudflare R2 storage, validation, scan и quarantine/review gates. manual browser form удобна для редких релизов с пошаговым интерфейсом. API upload создан для повторяемых local tools и CI, с Idempotency-Key retries, resumable multipart transfer, status.progress и machine-readable failures.
Automation не ослабляет security checks и не делает файл публичным раньше. Выберите подходящий интерфейс; same security gates должны вернуть ready до publish.
Для signed single PUT оба клиента обязаны отправить все возвращённые headers, включая If-None-Match: *. Conditional 412 означает ambiguous existing write, а не безопасную причину перезаписать объект: вызовите тот же complete endpoint, после чего server verification через HEAD, immutable seal и SHA-256 определит результат.
Да. Используйте official GitHub Action или CLI и храните MODDINGFLOW_API_KEY в GitHub environment or repository secret. Никогда не помещайте его в workflow YAML, repository variables, logs, command arguments, artifacts или committed state file.
Используйте resource-scoped, least-privilege key, для staging и production предпочитайте protected environment с approval, сохраняйте permissions: contents: read, если workflow не доказал необходимость большего, и pin Action на проверенный 40-character commit SHA. После утечки выполните rotate или revoke. Полный workflow есть в API docs.
Начни с API docs, затем открой API reference или скачай OpenAPI JSON. SDK сейчас repo-only source artifact до package publishing и not published to npm, PyPI, or NuGet; открой SDK source page, затем используй local imports из sdk/csharp/Moddingflow.PublicApi, sdk/typescript/src/moddingflow-public-api.ts или sdk/python/moddingflow_public_api.
Актуальная матрица поддержки и EOL описана в docs/public-api/SDK-SUPPORT-AND-EOL.md. Это Preview source artifacts: package version и contract version учитываются отдельно, а registry publication, support SLA, signature и стабильные EOL-обязательства появятся только после immutable stable release.
Нет. Deprecation - это migration signal, а не немедленное изменение runtime behavior. Stable v1 сохраняет old clients рабочими как минимум на 90 days или two stable API releases notice, в зависимости от того, какое окно безопаснее для миграции.
Deprecated operations или capabilities используют Deprecation и Sunset response headers, когда это можно показать во время HTTP response, плюс migration guide и changelog entry. В течение notice window old clients сохраняют same status codes, same field types, aliases, scopes, Problem Details codes, cursor semantics и upload/download/webhook lifecycle behavior. Repository release gate отклоняет Sunset, пока committed migration guide, готовый non-deprecated replacement, dated telemetry evidence и support plan с явными owner и approver не привязаны к тем же deprecation и sunset dates.
А release notes, migration guide и changelog для deprecation path открываются на странице API changelog.
Поиск, чтение публичного artifact, план установки и разрешение скачивания публичного мода сначала выполняются анонимно: без входа, API key, специального User-Agent, регистрации клиента или Bearer-токена. Только если account-scoped контент отвечает 401/403, Mod Manager запускает вход и повторяет запрос с Bearer access token. Desktop-приложение использует системный браузер, Authorization Code + PKCE S256 и точный loopback callback на 127.0.0.1; пароль, client secret, Website-сессия и токены не передаются через deep link и не показываются пользователю. Fluxora использует client_id desktop_mod_manager, а каждый сторонний менеджер регистрирует собственный public client и redirect URI через POST https://moddingflow.com/oauth/register и сохраняет свой client_id.
Установленным приложениям client_secret не выдаётся: они являются публичными клиентами. Регистрация возвращает registration_client_uri и одноразовый management token с префиксом mfrg_. Если metadata больше не нужно менять, приложение отбрасывает token; иначе защищённый product backend хранит его и передаёт в SDK как managementToken. Пользователь никогда не видит и не копирует этот credential. Серверная или локальная интеграция, способная безопасно хранить секрет, может вместо этого создать конфиденциальное OAuth-приложение в Настройки > Для разработчиков > OAuth-приложения. Замаскированный mfoc_ secret показывается один раз; перевыпуск сразу аннулирует прежний secret, refresh-сессии и ожидающие grants, а удаление отзывает приложение. Уже выданные access tokens истекают не позднее чем через 15 минут. Для публичного клиента GET читает metadata, PUT ротирует management token, DELETE отключает клиент. Базовые scopes выдаются без developer account и ручного одобрения; чувствительные scopes требуют AAL2/2FA и review, agent:* и admin:* запрещены. Refresh token хранится в защищённом хранилище credentials. Пользователь может отозвать подключённое приложение в Account Security. OpenID Connect ID token проверяется через discovery/JWKS, RS256 и nonce. Existing Personal Access Tokens остаются совместимыми для user-owned automation, но не нужны для публичного API. Вкладка API-ключей теперь показывает одну компактную строку «Ключ аккаунта»: ключ лениво создаётся при первом открытии, по умолчанию замаскирован, его можно повторно показать или скопировать без визуального раскрытия, срок действия не ограничен, а ротация после AAL2-подтверждения немедленно отключает прежний ключ. Актуальные Premium, роли, ресурсы и лимиты по-прежнему пересчитываются при каждом запросе.API.
Публичный API проверяет лимиты маршрутов, размера тела запроса, байтового бюджета, per-user, per-application и per-token limits до операций хранения, подписания, загрузки, скачивания, RPC или Agent Gateway. Слишком большие тела запроса возвращают 413. Перегруженный или подозрительный клиент получает 429 как application/problem+json с Retry-After, а также RateLimit-Limit, RateLimit-Remaining и RateLimit-Reset, когда доступна корзина лимита; повторять запрос нужно с задержкой после этого окна. Для download-specific 429 сохрани download_job.id, grant_id, bytes_received, etag и next_attempt_at, затем после Retry-After повтори запрос с job_id и монотонным progress: сервер сохранит тот же job и зарезервированный grant без нового provider effect.
Operational dashboards и audit trails группируют эти события по client_id, actor_user_id, token_id_or_api_key_id, scope и token_kind, чтобы maintainers отличали обычные всплески трафика от token abuse.
Public API webhooks используют owner-scoped subscriptions и стабильные event names: mod.updated, version.published, file.ready, file.failed, upload.completed, scan.completed, token.changed, app.changed и account.access.changed. Каждое delivery body содержит delivery_id, kind, created_at и data, а каждый запрос подписан через X-Moddingflow-Signature с HMAC-SHA256 over `${timestamp}.${raw_body}` плюс X-Moddingflow-Timestamp. account.access.changed содержит только монотонную access revision и безопасные категории изменений; дедуплицируй событие и перечитай /me.
Webhook delivery работает по модели at-least-once, допускает replay и не гарантирует порядок. Receiver должен быстро вернуть 2xx, обрабатывать событие асинхронно, отклонять устаревший timestamp, дедуплицировать бизнес-эффект по event_id, хранить delivery_id для диагностики и получать актуальное состояние ресурса перед изменениями. Используй GET /v1/webhook-deliveries для истории attempts, а POST /v1/webhook-deliveries/{delivery_id}/redeliver с Idempotency-Key — для связанной redelivery. Repeated terminal failures могут disable the subscription. Полный контракт описан на странице API.
Только через делегированные Agent Gateway tokens. Агент получает short-lived token с audience agent-gateway, узкими scopes и actor/delegation metadata; полный user session token ему не передается.
Read tools могут искать моды, читать детали мода, строить install plan, сравнивать версии и безопасно делать download resolve. Write-capable tools по умолчанию работают как dry-run, а publish, delete/archive, permission changes и paid/restricted access changes требуют explicit confirmation.
Fluxora — менеджер модов для Skyrim на Windows: он объединяет моды, плагины, Nexus Mods, установку архивов, VFS-запуск, импорт MO2 и FluxPack. Актуальный стабильный установщик доступен на странице Fluxora; кнопка скачивания ведёт прямо к asset FluxoraSetup.exe в последнем GitHub Release.
Windows SmartScreen может показать такое предупреждение, если установщик ещё не подписан сертификатом с накопленной репутацией. Скачивайте Fluxora только с официальной страницы, проверяйте имя FluxoraSetup.exe и отменяйте запуск, если источник или имя файла отличаются.
Официальное desktop-приложение отправляет managed-запросы Fluxora AI через Website Moddingflow в европейский Responses endpoint OpenAI для GPT-5.6 Luna, используя короткоживущий OAuth-токен и scope agent:run. Website проверяет официальный client, token, entitlement, rate limits и квоту. Запросы используют store:false и background:false; flow разрешено активировать только для OpenAI Europe-проекта с одобренным MAM, ZDR или принятым эквивалентным retention control.
Текущий лимит равен 40% от оплаченной чистой суммы, но не более 2 EUR за сервисный месяц, при необходимости начисляется пропорционально и не переносится; также доступно до 24 запросов Web Search и две одновременные генерации. Prompts, ответы, OAuth-токены, локальные пути и tool payloads/results не хранятся в managed accounting; сохраняются идентификаторы, HMAC запроса, агрегированные uncached/cached/cache-write input, output и Web Search usage/cost, статус и время, обычно 24 месяца после сервисного периода. Reasoning входит в output один раз; неопределённое использование остаётся зарезервированным до reconciliation.
Локального API-key или BYOK-режима нет. OpenAI key остаётся в server-side Vault и никогда не передаётся Fluxora. Ответы OpenAI, citations и Web Search sources считаются недоверенными и не могут разрешить локальное изменение.
Нет. Public API использует стабильные UUID или lifecycle ids для игр, модов, сборок, versions, logical files, physical blobs, upload sessions, download grants, tokens и webhook deliveries там, где эти ресурсы публичны. Внутренние forum/topic ID остаются деталями сайта и не считаются внешним контрактом.
Это позволяет старым страницам продолжать работать, а Mod Manager и интеграциям получать canonical resources без forum naming leaks. Slugs, filenames, storage object names и hashes являются aliases или verification data, а не durable external keys. Переименования, metadata rebuilds и slug changes сохраняют public IDs; замена байтов файла создает новый physical blob и может создать новую logical artifact/version binding.
Сайт поддерживает русский, английский и немецкий языки. Основной язык интерфейса выбирается в настройках и сохраняется в профиле и cookie.
Выбор языка контента оставлен только в обычных разделах форума, где он помогает показывать темы нужного языка. Каталоги модов, сборок и поиск показывают материалы всех языков по умолчанию.
Пока вы печатаете, сайт показывает легкие подсказки по названиям, авторам, играм и тегам. Один и тот же поиск на сайте и в API нормализует запросы на русском, английском и немецком, исправляет поддерживаемую раскладку, учитывает транслитерацию, варианты немецких букв, алиасы и опечатки. Точное название или алиас всегда выше префикса, полнотекстового и нечеткого совпадения; поиск по смыслу подключается только тогда, когда уверенных лексических результатов недостаточно. Выбранный язык контента остается явным фильтром и не определяется автоматически по языку запроса.
Новые моды, сборки, темы и ответы попадают в поисковый индекс через фонового обработчика. Обычно это быстро, но после публикации материал может появиться в поиске с небольшой задержкой.
Нет. Публичные ID являются opaque UUID и не зависят от slug, названия, имени файла, URL, CDN, хеша или адреса хранилища. Rename и metadata-only edits сохраняют ID. Новые bytes создают новый Blob и, когда меняется логический файл или версия, новый Artifact/Version ID.
Archive и withdraw можно восстановить по разрешенному lifecycle-переходу. Permanent deletion оставляет tombstone: lookup возвращает HTTP 410 Gone, а прежний ID и его source binding никогда не выдаются другому ресурсу.
Подождите немного, затем используйте кнопку ручного открытия, если браузер заблокировал новую вкладку. Не закрывайте страницу Moddingflow, пока ссылка скачивания не появится.
Если скачивание всё равно не работает, попробуйте повторить после смены сети или VPN-маршрута. Сайт проверяет основной маршрут Cloudflare перед резервным CDN.
Cloudflare R2 остаётся основным источником архивов модов. Bunny CDN используется только как резервный Pull CDN, если основной маршрут недоступен именно для вас.
Резервные ссылки короткоживущие и привязаны к конкретному файлу. Это не постоянные публичные зеркала и не обход лимитов скачивания, предупреждений о контенте или проверок аккаунта.
После прежних проверок безопасности и серверной задержки (30 секунд без входа, 15 секунд для обычного аккаунта и 0 секунд с Premium) «Скачать (Mod Manager)» передаёт ОС только канонический URI moddingflow://download?v=1&artifact_id=<uuid>. Браузер не скачивает файл, не открывает HTTP URL или новую вкладку и никогда не подменяет manager-flow прямым либо архивным скачиванием. Клик записывается отдельно как manager_handoff_attempt и не считается скачиванием.
Если менеджер не открылся, повторите передачу, установите или выберите совместимый менеджер в системных настройках либо закройте подсказку. Ручного fallback в этой подсказке нет: отдельная кнопка «Скачать» остаётся самостоятельным действием. Внешний artifact доступен менеджеру только при включённом rollout и свежем verified reference; иначе manager-кнопка недоступна, а manager-flow не переключается на браузер, прямой HTTP или архив.
После активации менеджер строго разбирает URI, анонимно читает GET /v1/artifacts/{artifact_id}, показывает локальное подтверждение игры и профиля, получает install plan и только после подтверждения вызывает POST /v1/downloads/{artifact_id}/resolve. При 401/403 для account-scoped контента он запускает OAuth и повторяет запрос с Bearer token. Скачивание учитывается только после успешной активации API download job; получение deep link само по себе не начинает загрузку или установку.
На странице мода для Minecraft вкладка «Скачать» не открывает список файлов, а показывает окно выбора. Сначала выберите загрузчик — Fabric, Forge, NeoForge или Quilt, — затем версию Minecraft, и нажмите «Скачать» в этом же окне. Предлагаются только те сочетания, которые автор действительно выложил: если у выбранного загрузчика нет сборки под текущую версию игры, откроется его самая свежая версия.
Окно открывается на самой свежей поддерживаемой версии. Если загрузчик или версия всего одна, выбор не предлагается — сразу нажмите «Скачать». Файлы без указанного загрузчика или версии подходят к любому сочетанию, а старые сборки выбранного сочетания идут ниже актуальной, чтобы можно было поставить мод под предыдущую версию игры. Проверки безопасности, задержка перед скачиванием и кнопка Mod Manager работают так же, как для остальных игр.
Для external provider reference архив остаётся у исходного провайдера: Moddingflow не создаёт постоянную копию в R2 или CDN и не учитывает эти байты как свой трафик. Такой режим предназначен только для публичных бесплатных модов; публичная ссылка не превращается в защиту Premium-файла. Обычные авторские загрузки в хранилище Moddingflow продолжают работать как раньше.
Перед публикацией и затем регулярно сервер Moddingflow сверяет стабильный locator провайдера, временно скачивает файл для проверки размера, SHA-256 и безопасности, сохраняет только evidence и attestation и удаляет временные байты. Менеджер получает короткоживущий URL первоисточника только для свежего verified reference и обязан проверить SHA-256 полного файла после обычного или возобновлённого скачивания.
Если провайдер удалил файл, изменил его размер или хеш, reference блокируется либо отзывается. При временных 429/5xx сервер повторяет проверку с задержкой, но после истечения freshness загрузка закрывается fail-closed. Для внешнего файла нет зеркала Moddingflow, Bunny/R2 fallback или автоматического перехода manager-flow в браузер; ручное скачивание остаётся отдельным явно выбранным действием, если оно доступно у источника.
Технический контракт и состояния reference описаны в документации API.
Для архива, который хранится в Moddingflow, кнопка «Открыть содержимое архива» показывает папки и файлы, формат, размер, счётчики и полный SHA-256 без скачивания и распаковки. Индексация выполняется в фоне, поэтому у нового или старого архива некоторое время может отображаться подготовка содержимого.
SHA-256 — криптографический отпечаток всего сохранённого архива. Его можно скопировать и сравнить с хешем, рассчитанным после скачивания: совпадение подтверждает идентичность байтов архива, но само по себе не доказывает безопасность каждого файла.
Нет. Предпросмотр — это только список имён и размеров. Сайт не запускает, не открывает и не извлекает отдельные элементы архива, а для архива со статусом «Файл небезопасен» продолжают действовать существующие ограничения на скачивание.
Когда сайт или app link передаёт только UUID артефакта, Mod Manager сначала вызывает GET /v1/artifacts/{artifact_id}. Этот entitlement-aware metadata-only read возвращает из allowlist игру, мод, точную версию, чистый опубликованный артефакт, SHA-256, размер и стабильный resolve endpoint, не создавая download job или grant и не возвращая signed URL. Передача байтов начинается только после того, как пользователь подтвердил выбранную локальную игру и профиль.
Mod Manager сначала запрашивает install plan с версией игры, platform, loader, release channel, типизированными required/optional/conflict/embedded зависимостями, выбранными artifacts, причинами решения, стабильными plan/item IDs, порядком установки, expected archive layout, warnings и per-file hashes. Одинаковый normalized input при неизменном catalog возвращает те же IDs; embedded dependency не добавляет отдельный download step, а optional step включается только по запросу. Затем download resolve создает короткоживущий download grant и возвращает primary/fallback route, legacy alias sha256, canonical SHA-256 verifier hashes.sha256, size_bytes и resume policy. SHA-256 проверяет полный сохранённый объект: клиент собирает все Range части, сверяет size_bytes и только затем проверяет digest. ETag — opaque validator одной transport representation для conditional request и resume; он не является криптографическим digest или file identity и не переносится между providers. Resolve endpoint всегда отвечает 200 JSON grant, не использует 302 redirect и не стримит binary body. RFC 9530 Content-Digest и Repr-Digest текущим signed transport не гарантируются. SHA-1 или MD5 могут появляться только как optional compatibility metadata.
У каждого основного и опционального файла своя обязательная версия, и версии файлов одного мода могут различаться. Version response может дополнительно содержать PublicModVersion.artifacts: читайте artifact.file_version как версию конкретного скачиваемого файла; PublicModVersion.version сохраняется для совместимости и равна версии раскрытого artifact. Это optional expansion только для managed primary artifact с size_bytes > 0, точным sha256/hashes.sha256, actual AV scan_status=clean из current upload session, совпавшей одновременно по file_id и final_blob_id, lifecycle=ready, publication state=published и доступным managed resolve. Стабильные artifact_ids остаются всегда; для legacy artifact поле artifacts будет omitted, а не заполнено выдуманными метаданными. В download_metadata есть только relative resolve_endpoint и truthful range_supported: provider URL там нет, и клиент не должен его конструировать или сохранять. Resolve также возвращает полный mod с uploader, полным Markdown, постоянными web/API/source ссылками и latest_release, но version и artifact всегда относятся к фактически выбранному файлу и могут быть старее latest_release. distribution объясняет, что файл распространяет Moddingflow. primary_url действует только до expires_at; после этого Mod Manager повторяет download_grant.resolve_endpoint и не сохраняет временный URL как идентификатор файла.
«На проверке» означает, что управляемый архив ещё нельзя безопасно подтвердить: публикация и скачивание через сайт, Mod Manager и API заблокированы до ручного решения. «Проверено автоматически» означает чистый результат для точного SHA-256, формата, версии политики, движка и базы сигнатур. «Проверено администрацией» означает осознанное решение администратора; оба проверенных статуса используют обычный защищённый путь скачивания. Статус Unsafe («Файл небезопасен») означает карантин из-за сигнатуры вредоносного ПО или опасной структуры архива — это не обязательно означает, что найден вирус. Такой файл остаётся виден в карточке, но скачать его нельзя.
Новые управляемые загрузки размером до 512 МиБ получают приоритетную проверку; общая очередь подхватывает их при необходимости и обрабатывает большие файлы, повторные проверки и фоновые архивы. Внешняя ссылка не скачивается сервером автоматически и остаётся «На проверке» с предупреждением перед переходом. Неизвестный ответ сканера, устаревшая база, исчерпанные попытки, зашифрованный архив или превышение безопасных лимитов никогда не считаются чистым результатом: файл уходит в закрытую проверку или карантин. Если обычная повторная проверка текущих байтов завершается чисто, карточка обновляется, а устаревшее Unsafe-уведомление удаляется; подтверждение файла администратором тоже удаляет такое предупреждение. История результатов и ручных решений сохраняется. Для повторной проверки карантинной загрузки, которую запросил администратор, даже чистый результат всё ещё требует отдельного разрешения на публикацию.
Да. Если VPN делает Cloudflare доступным, скачивание использует основную ссылку Cloudflare R2.
Если браузер не может выполнить проверочный запрос Cloudflare, Moddingflow может запросить короткоживущую резервную Bunny-ссылку для того же архива.
Проверьте, что email введен без ошибок, пароль соответствует требованиям формы, а письмо подтверждения не попало в спам. Если ссылка подтверждения устарела, начните регистрацию заново.
Если аккаунт уже создан, попробуйте войти или восстановить пароль со страницы входа.
Аккаунт нужен, чтобы публиковать темы, моды, сборки и гайды, оставлять комментарии, ставить реакции, отслеживать материалы и управлять своим публичным профилем.
После входа откройте личный кабинет, чтобы настроить профиль, безопасность и подписку.
Архив загружается напрямую из браузера в Cloudflare R2 по короткоживущей подписанной ссылке. Это основное хранилище архивов модов и сборок на Moddingflow.
Сайт создаёт upload-сессию и проверяет файл перед публикацией. В политике конфиденциальности описано, какие технические данные Cloudflare/R2 и Moddingflow могут обработать.
Для обычных аккаунтов доступны до 3 основных файлов по 500 MB и до 5 опциональных файлов по 100 MB. Premium сохраняет это число файлов, но повышает размер: до 4 GB для каждого основного файла и до 250 MB для каждого опционального файла. Minecraft использует отдельную систему лимитов.
Краткое описание мода может содержать до 300 символов. Для полного описания действует бюджет в 100 000 видимых символов, а каждое встроенное изображение считается за 100 символов. Доступно безопасное форматирование: заголовки, ссылки, списки, стили текста, таблицы, спойлеры и YouTube-видео с загрузкой только после согласия. В полное описание и галерею мода можно добавить GIF до 10 МБ: сайт проверит число кадров, разрешение и длительность, затем подготовит анимированный WebP и статичное превью. Анимация запускается автоматически, если в системе не включено уменьшение движения; с этой настройкой сначала показывается статичное превью, а GIF можно запустить вручную. GIF нельзя использовать как обложку; карточки, сборки, комментарии и гайды остаются статичными.
При импорте с Nexus перед публикацией проверьте права на файлы и каждое авторское или пользовательское изображение; удалите всё, на распространение чего у вас нет разрешения.
Да, для ссылок с Imgur, публичных вложений GitHub вида github.com/user-attachments/assets/… и изображений из репозитория вида github.com/владелец/репозиторий/blob/ветка/файл.jpg?raw=true. Вставленная ссылка становится обычным изображением в тексте: его можно выровнять, изменить размер и перетащить так же, как загруженный скриншот. Другие страницы GitHub и остальные хостинги остаются обычными ссылками. Так же работает вставка целого описания: каждый поддерживаемый адрес становится картинкой на своём месте, а обычная подписанная ссылка остаётся ссылкой.
Файл остаётся на Imgur или GitHub и не копируется на Moddingflow: если его удалят или скроют там, изображение пропадёт и на вашей странице. Редактор проверяет доступность перед вставкой. Изображение расходует лимит картинок в описании, и правила сайта действуют для него так же, как для загруженного.
Ничего настраивать не нужно: изображение, GIF и видео с YouTube вставляются шириной примерно в треть описания, поэтому по бокам сразу остаётся свободное место. Выделите медиа щелчком и выберите выравнивание в панели редактора — по левому краю, по центру или по правому. Картинка, которая и так уже, треть не растягивается: она вставляется в своём размере.
Размер меняется углами рамки: потяните за любой из четырёх маркеров у выделенного медиа, и пропорции сохранятся сами. Так же можно вернуть видео или скриншот на всю ширину описания. Уже опубликованные видео остаются такими, какими были, пока вы сами не измените их размер.
Вы вернетесь на экран загрузки мода, а введенные поля и выбранные файлы останутся на месте, пока вкладка открыта.
Временные изображения и файлы, которые успели загрузиться в неудачной попытке, очищаются автоматически. После ошибки проверьте сообщение на форме и попробуйте опубликовать мод снова.
Никнейм меняется в личном кабинете, в разделе профиля. После изменения проверьте публичную страницу, чтобы убедиться, что имя, аватар и описание выглядят правильно.
Отмена находится на странице платежей. Нажмите отмену продления, если хотите выключить следующий автоматический платеж.
После отмены Premium остается активным до конца текущего оплаченного периода. Если известна точная дата окончания доступа, она показывается в платежном блоке.
Для первого оформления Premium или перехода пробного периода в платный может быть доступен 14-дневный отказ от договора. Обычное автопродление не открывает новое автоматическое 14-дневное окно.
Если отказ доступен, страница платежей покажет действие для отказа и расчет неиспользованной части периода. Если автоматический возврат невозможен, запрос уходит на ручную проверку или другое документированное решение.
Квитанции открываются со страницы платежей на страницах Stripe. Данные карты управляются только в Stripe Portal.
Если пишете в поддержку по платежу, укажите email аккаунта и ID квитанции Stripe. Не отправляйте номер карты, CVC и скриншоты с полными платежными данными.
Откройте личный кабинет. Там собраны ваши темы, сообщения, моды, сборки и другие публичные материалы, если они привязаны к вашему аккаунту.
Профиль, аватар, обложка и описание редактируются в личном кабинете. Загружайте только изображения подходящего формата и не размещайте в профиле чужие материалы без разрешения.
Если используете Premium-оформление, проверьте, что GIF и визуальные эффекты не нарушают правила сайта.
Публичная страница показывает имя, аватар, описание и открытые публикации. Приватные платежные данные, email, настройки безопасности и служебные записи не показываются.
Подробнее о данных аккаунта написано в политике конфиденциальности.
Автор сборки может добавить отдельный блок вопросов и ответов при публикации или редактировании сборки. Он подходит для ответов про установку, конфликты, требования и прохождение.
Такой блок отображается на странице сборки во вкладке FAQ или Questions and answers и отличается от этой общей страницы поддержки.
Если вы вошли в аккаунт, смените пароль в настройках безопасности личного кабинета. Если войти не получается, используйте восстановление пароля на странице входа.
Двухфакторная аутентификация включается в личном кабинете в разделе безопасности. Сохраните резервный доступ к приложению-аутентификатору до выхода из аккаунта.
Да. DELETE по registration_client_uri с management token отключает динамический клиент и отзывает authorization codes, device requests, refresh families, consents и дальнейшее использование access tokens. Management token не является OAuth access token и не восстанавливается. Пользователь отдельно может отозвать OAuth-доступ через https://moddingflow.com/oauth/revoke. В Settings > Developer остаётся управление PAT и API-ключами; перекрытие при ротации PAT не превышает 10 минут.
Начните с восстановления пароля через страницу входа и проверьте почту. Если аккаунт заблокирован модерацией, внимательно прочитайте причину и сверяйтесь с правилами сайта.
Удаление аккаунта запускается из личного кабинета, если эта функция доступна для вашего профиля. Перед удалением скачайте данные, которые хотите сохранить.
Некоторые публичные материалы могут быть сохранены или обезличены, если это нужно для целостности обсуждений, безопасности, юридических обязанностей или модерации. Детали описаны в политике конфиденциальности.
Экспорт данных находится в личном кабинете. Он помогает получить копию данных профиля и связанных записей, которые сайт может отдать пользователю.
Большие наборы записей выгружаются ограниченными секциями. Если секция обрезана, JSON-файл содержит metadata продолжения, чтобы поддержка могла определить, какие данные остались.
Если нужны юридические основания обработки данных, откройте политику конфиденциальности.
Откройте жалобу на контент из футера сайта и приложите ссылки на оригинал, спорную публикацию и доказательства авторства. Чем точнее описание, тем быстрее модерация поймет проблему.
Запрещенные действия с чужими модами и файлами описаны в правилах сайта.
Перевод можно публиковать только если это разрешено автором оригинала, лицензией или правилами площадки, где опубликован оригинальный мод. Укажите автора, ссылку на оригинал и условия использования.
Если разрешения нет или лицензия запрещает перераспространение, не загружайте чужие файлы. Вместо этого можно опубликовать инструкцию и дать ссылку на оригинальный мод.
Полная версия находится на странице правил сайта. Перед публикацией модов, сборок, переводов и спорного контента лучше проверить именно ее.
Нельзя публиковать пиратские файлы, украденные моды, вредоносное ПО, стилеры, майнеры, доксинг, травлю, незаконный контент, DRM-кряки, варез и материалы, нарушающие правила игры или платформы. Запрещено обходить автоматическую проверку, повторно загружать заблокированные байты под другим именем, скрывать опасное содержимое во вложенном/зашифрованном архиве, а также отправлять архивные бомбы, path-traversal payloads и другие атаки на истощение ресурсов.
Для NSFW и 18+ контента действуют отдельные ограничения. Перед публикацией сверяйтесь с правилами сайта.
Модерация может скрыть материал, удалить файл, выдать предупреждение, ограничить действия аккаунта или заблокировать аккаунт. Решение зависит от нарушения, истории аккаунта и риска для пользователей.
Удаление одного материала не означает, что весь остальной контент автора автоматически одобрен. Каждый спорный материал может проверяться отдельно.
