WP Social Auth

El problema

Una tienda de videojuegos exigía registro antes de pagar. La audiencia ya tenía cuentas en VK, Yandex, Steam y Discord y ninguna gana de inventarse otra contraseña: una parte de cada sesión de compra terminaba justo en el formulario de registro. Los plugins de acceso social disponibles cubrían VK y Yandex, pero no Steam, que no habla OAuth en absoluto.

Un segundo problema, más silencioso, apareció en producción: la devolución de llamada de OAuth a veces se disparaba dos veces por un mismo acceso, un doble clic, un reintento, un navegador que precarga, y cada ejecución creaba su propia cuenta. Soporte acababa fusionando clientes duplicados a mano.

Antes → Después

Antes	Después
Formulario de registro con contraseña como única entrada	Cuatro proveedores de un clic junto al formulario normal
Steam imposible: usa OpenID 2.0, no OAuth	Steam verificado contrastando la firma con el servidor de Valve
Cuentas duplicadas cuando la llamada llegaba dos veces	El código se reserva en una tabla de bloqueo: la segunda sigue a la primera
Añadir un proveedor obligaba a bifurcar todo el flujo de acceso	Un proveedor es un cliente, un servicio, un mapeador y una pestaña de ajustes
Los usuarios de Steam no tenían correo: no se podía completar el pedido	Los datos de contacto que faltan se piden en un formulario tras el acceso
Acceso unas veces por usuario y otras por correo, sin criterio	Acceso solo por correo, con una regla de dominio en cada punto de entrada
Tras entrar, la caché mostraba la cabecera de invitado	La caché privada se purga dentro del propio manejador de acceso

Cómo funciona

El comprador elige un proveedor. Los botones se inyectan en los formularios de acceso y registro de WordPress y en los dos de WooCommerce, de modo que las mismas cuatro opciones aparecen allí donde ocurra un acceso.
El proveedor responde. Los proveedores OAuth devuelven un código que se intercambia por un token de acceso y un perfil. Steam devuelve en su lugar una aserción OpenID firmada, que se reenvía a Valve para obtener un veredicto de check_authentication antes de confiar en nada.
El código se reserva. Antes de tocar la cuenta, la llamada escribe el código en una tabla de bloqueo con contador. Una llamada duplicada encuentra la fila ocupada, espera a que termine la primera y reutiliza su resultado: un acceso, una cuenta, haga lo que haga el navegador.
La cuenta se asocia o se crea. Se busca al cliente existente por correo o, cuando el proveedor no entrega correo, por nombre de acceso. Solo un fallo real crea un usuario nuevo de WordPress.
Se completan los datos que faltan. Steam no entrega dirección de correo, así que esos usuarios pasan por un formulario de correo y teléfono antes de poder llegar al pago. El resto va directo a la página configurada.
La sesión se abre limpia. Se fijan las cookies de autenticación, se dispara el evento estándar de acceso para que otros plugins lo vean y se purga la caché privada, de modo que la visita ve de inmediato una página de usuario autenticado.

Funciones clave

VK, Yandex, Steam y Discord tras una única interfaz de proveedor
Verificación de firma OpenID 2.0 para Steam e intercambio de código OAuth para el resto
Llamadas de retorno a prueba de concurrencia: la tabla de bloqueo evita duplicados
Formulario de datos posterior al registro para proveedores sin correo
Política de acceso solo por correo con restricción de dominio configurable
Pantalla de ajustes e interruptor independiente por proveedor
Purga de la caché privada de páginas al entrar (compatible con LiteSpeed)
Respuestas de proveedor grabadas en las pruebas: el flujo completo se prueba sin red

Instalación

Suba la carpeta del plugin a /wp-content/plugins/ y actívelo
Ejecute la migración incluida para crear la tabla de bloqueo de códigos
Abra Awesome Auth en la barra lateral del admin y rellene el client id y el secreto de cada proveedor que quiera habilitar
Defina la URL de redirección tras el acceso y la página del formulario de datos en los ajustes comunes
Registre en la consola de desarrollador de cada red el redirect URI que muestra su pestaña