OneCode Login

Leírás

A OneCode Login modern, jelszó nélküli hitelesítési élményt nyújt WordPress oldaladhoz. A hagyományos jelszavak helyett a felhasználók egy biztonságos, 6 jegyű ellenőrző kódot kapnak e-mailben.

Főbb funkciók

• Jelszó nélküli hitelesítés – A felhasználók csak az e-mail címükkel jelentkeznek be
• 6 jegyű ellenőrző kódok – Biztonságos, időkorlátozott kódok e-mailben
• kérésszám-korlátozás – Beépített védelem a brute force támadások ellen
• Kérésazonosító kötés – Minden kód egy adott bejelentkezési munkamenethez van kötve a fokozott biztonság érdekében
• Semleges visszajelzés – Megakadályozza a felhasználó-kilistázási támadásokat azzal, hogy nem árulja el, létezik-e az e-mail cím
• Testreszabható – Állítsd be a lejárati időket, várakozási időket és e-mail sablonokat
• Akadálymentes – Teljes billentyűzetes navigáció és képernyőolvasó támogatás
• Gutenberg blokk – Könnyen hozzáadható bejelentkezési űrlap bármely oldalhoz
• Shortcode támogatás – Használd a [onecode_login]-t bárhol
• wp-login.php integráció – Opcionálisan felváltja az alapértelmezett WordPress bejelentkezést
• Developer API – Other plugins can use OneCode Login as an email one-time-code (OTP) service to verify a visitor’s email — see the Developer information section

Biztonsági funkciók

• Kriptográfiailag biztonságos kódgenerálás
• Codes and magic-link tokens are stored HMAC-hashed, never in plain text
• Beállítható kód lejárati idő (alapértelmezés: 10 perc)
• Újraküldési várakozási idő a spam megelőzésére
• IP- és e-mail-alapú kérésszám-korlátozás
• Automatikus zárolás sikertelen próbálkozások után
• A kódok egyszer használatosak, és sikeres bejelentkezés után érvénytelenné válnak

Felhasználási esetek

• Tagsági oldalak, ahol a jelszavakkal kapcsolatos terhelés problémát jelent
• Ügyfélportálok, amelyek egyszerű hitelesítést igényelnek
• Belső eszközök, ahol egyszerű, de biztonságos megoldás szükséges
• Bármely oldal, amely javítani szeretné a felhasználói élményt

Developer information

Other plugins on the same site can use OneCode Login as a generic email
one-time-code (OTP) service — for example to verify a guest’s email before
letting them act. OneCode emails the code and verifies it; your plugin keeps
full control of its own login/session (OneCode only asserts that the code is
valid for the email — it never logs anyone in). It works for any email
address; the address does not need a WordPress account.

All entry points are plain functions (and matching filters), so you do not need
a hard dependency on any class. The API is gated by the Settings → Advanced →
Enable developer API toggle.

Detect support (side-effect free — never call the request hook just to probe):

if ( function_exists( 'onecode_login_request_otp' ) && onecode_login_supports( 'otp' ) ) { ... }

1. Start authentication — email a code and receive a handle:

   $handle = onecode_login_request_otp( $email, array( ‘consumer’ => ‘my_plugin’ ) );
   // $handle = array( ‘request_id’, ‘auth_secret’, ‘expires_in’ (seconds), ‘expires_at’ (UTC), ‘sent’ )
   // On failure: a WP_Error (codes: disabled, invalid_request, rate_limited, cooldown).

Keep request_id and auth_secret server-side (e.g. in a transient tied to the
visitor). The auth_secret is NEVER shown to the customer — it is what stops an
outsider who only knows the email from completing verification by guessing codes.

1. Complete authentication — the customer gives your plugin the code from the email:

   $result = onecode_login_verify_otp( array(
   ’email’ => $email,
   ‘request_id’ => $handle[‘request_id’],
   ‘code’ => $code_from_customer,
   ‘auth_secret’ => $handle[‘auth_secret’],
   ‘consumer’ => ‘my_plugin’,
   ) );
   // Success: array( ‘valid’ => true, ’email’ => … ). Failure: WP_Error.

On failure show a generic message to the user (the API intentionally returns a
single verify_failed code so it can’t be used as an oracle).

Filters are also available for loose coupling: onecode_login_request_otp
($pre, $email, $args) and onecode_login_verify_otp ($pre, $args).

Discovery and capabilities:

• onecode_login_supports( $feature ) — returns true for 'otp',
  ‘identity_assertion’, 'any_email' and 'api_enabled'. It reports whether
  the feature is usable right now: while the developer API toggle is off every
  key returns false, so a gate on supports() keeps you from offering a flow
  the API would refuse. Use your own fallback in that case.
• onecode_login_api()->is_enabled() — the developer API toggle on its own.
• onecode_login_api() — returns the OneCode_Login_API service instance.
• OneCode_Login_API::VERSION — the API contract version (independent of the
  plugin version), so you can feature-gate against the API surface.
• do_action( 'onecode_login_api_init', $api ) — fires once the API is ready;
  bind to it if you want to wire up as soon as OneCode Login loads.

Reference: $args['consumer'] (a short [a-z0-9_-] label identifying your
integration) is required on both calls — it isolates your codes and rate limits
from the built-in login and from other consumers. Both request and verify are
rate-limited by OneCode, returning rate_limited / cooldown WP_Errors you can
surface to the user.