Pakete

Pakete sind kuratierte, versionierte Zusammenstellungen bestehender Plugins. Sie enthalten keine eigenen Dateien, sondern verweisen auf die signierten Plugin-Versionen.

Offiziell heißt: von JAO selbst veröffentlicht und mit einem registrierten JAO-Signierschlüssel signiert. Community- oder externe Inhalte erscheinen hier nicht.

Noch keine Pakete veröffentlicht. Pakete erscheinen hier erst, wenn ihre Plugin-Versionen real veröffentlicht sind.

Was Nexus geprüft hat, und was nicht

Bei der Veröffentlichung geprüft

Die Ed25519-Signatur passt zu den exakten Paketbytes und einem registrierten, zum Zeitpunkt der Veröffentlichung aktiven JAO-Signierschlüssel.
Der SHA-256-Hash der gespeicherten Datei stimmt mit dem signierten Wert überein.
Paketstruktur und Manifest entsprechen dem dokumentierten Format (erlaubte Pfade, Größenlimits, keine verschlüsselten Einträge).
Die Veröffentlichung wurde ausdrücklich vom Official Publisher Owner bestätigt.

Nicht geprüft

Keine Malware- oder Codeprüfung und keine Sicherheitsgarantie. Eine Signatur bedeutet echt und unverändert, nicht harmlos.

Forge-Prüfung (lokal)

Vor einer Installation prüft Forge selbst erneut Hash und Signatur gegen einen lokal vertrauenswürdigen Schlüssel sowie Kompatibilität und Abhängigkeiten. Es arbeitet in einem Staging-Bereich, zeigt eine Vorschau und schreibt erst nach deiner ausdrücklichen Bestätigung. Ein Download verändert nie direkt ein Projekt. Die Website vergibt kein Gütesiegel „Forge geprüft“; diese Prüfung findet lokal in Forge statt.

Freischaltung (Entitlement)

Die Signatur sagt, dass eine Datei echt ist. Die Freischaltung sagt, dass dein Konto sie beziehen darf. Beides ist getrennt. Auch kostenlose Plugins werden erst nach deiner ausdrücklichen Freischaltung geladen. Freischalten installiert nichts; die Installation erfolgt bewusst in Forge.