WordPress OTP авторизация без использования SMS-провайдеров: практическое решение

Диагностика проблемы: почему стоит отказаться от SMS-провайдеров для OTP

Многие разработчики сталкиваются с необходимостью реализации одноразовой парольной авторизации (OTP) в WordPress без привлечения сторонних SMS-провайдеров. Основные причины для этого:

• Высокая стоимость SMS-услуг при больших объемах.
• Зависимость от внешних сервисов и возможные задержки.
• Проблемы с доставкой SMS в разные страны и регионы.
• Требования GDPR и других нормативов к обработке персональных данных.

Если вы хотите реализовать OTP-авторизацию по Email или через другие каналы без SMS, нужно использовать внутренние инструменты WordPress и PHP.

Пошаговое решение: OTP авторизация через Email в WordPress

1. Генерация и сохранение OTP кода

При запросе OTP генерируем случайный код, сохраняем его во временное пользовательское мета и отправляем на Email.

function wpauth_generate_otp($user_id) {
    $otp = wp_rand(100000, 999999); // 6-значный код
    update_user_meta($user_id, '_wpauth_otp_code', $otp);
    update_user_meta($user_id, '_wpauth_otp_expire', time() + 300); // срок 5 минут
    return $otp;
}

2. Отправка OTP на Email

function wpauth_send_otp_email($user_id, $otp) {
    $user = get_userdata($user_id);
    $to = $user->user_email;
    $subject = 'Ваш код для входа на сайт';
    $message = 'Ваш одноразовый код для входа: ' . $otp . '\nОн действует 5 минут.';
    wp_mail($to, $subject, $message);
}

3. Обработка формы ввода OTP и проверка

Создаем кастомный endpoint и форму, где пользователь вводит код. Проверяем код и срок действия.

function wpauth_verify_otp($user_id, $input_otp) {
    $saved_otp = get_user_meta($user_id, '_wpauth_otp_code', true);
    $expire = get_user_meta($user_id, '_wpauth_otp_expire', true);
    if(!$saved_otp || !$expire) {
        return false; // OTP не сгенерирован
    }
    if(time() > $expire) {
        return false; // OTP истек
    }
    return $input_otp == $saved_otp;
}

Проверка результата после внедрения

• Запустите процесс запроса OTP для существующего пользователя, убедитесь, что на Email приходит 6-значный код.
• Попробуйте ввести правильный и неправильный код в форму — должно быть успешное или отрицательное подтверждение.
• Проверьте, что код становится недействительным после 5 минут.

Частые ошибки и как их исправить

• Отсутствует wp_mail: убедитесь, что на сайте настроена отправка почты (SMTP или другой метод).
• Код не сохраняется или не читается: проверяйте правильность ключей user meta и нет ли конфликтов с другими плагинами.
• Форма ввода OTP не обрабатывается: убедитесь, что обработчик формы корректно привязан к action и nonce проверен.
• OTP не истекает: проверьте, что время истечения правильно сохраняется и сравнивается с текущим временем сервера.

Практические советы по безопасности и производительности

• Используйте wp_nonce_field для защиты формы ввода OTP от CSRF атак.
• Сохраняйте OTP коды с минимальным сроком жизни (5 минут — оптимально).
• Удаляйте OTP после успешного входа.
• Ограничьте количество попыток ввода OTP (например, 3 раза за сессию).
• Логируйте попытки входа для мониторинга подозрительной активности.

Сравнение вариантов реализации OTP без SMS