Авторизация по OTP (One-Time Password) в WordPress: настройка и примеры реализации

Автор: Сергей Кузнецов | Опубликовано: 13.12.2025

В современной веб-разработке безопасность пользователей становится приоритетом. Один из популярных способов повысить защиту учетных записей — внедрение авторизации по одноразовому паролю (OTP). В этой статье мы подробно рассмотрим, как реализовать авторизацию по OTP в WordPress, какие плагины использовать, а также приведем примеры кода для создания собственного решения.

Что такое OTP и зачем он нужен в WordPress

OTP — это одноразовый пароль, который генерируется для подтверждения входа пользователя и действует ограниченное время. Такой способ аутентификации помогает защитить сайт от взлома паролей, фишинга и других видов атак, связанных с кражей учетных данных.

В WordPress стандартная авторизация происходит по логину и паролю. Добавление второго шага в виде OTP значительно повышает безопасность, особенно если речь идет о сайтах с личными кабинетами, интернет-магазинах или корпоративных порталах.

Для реализации OTP можно использовать сторонние плагины или написать собственный код, интегрировав его в стандартный процесс логина WordPress.

Плагины для авторизации по OTP в WordPress

WP 2FA — Two-Factor Authentication

Один из популярных и бесплатных плагинов, добавляющих двухфакторную аутентификацию, включая OTP по SMS и приложениям-генераторам кодов (Google Authenticator, Authy). Поддерживает гибкие настройки, роли пользователей и уведомления.

Преимущества:

Легко внедряется и настраивается.
Поддержка нескольких методов 2FA.
Совместимость с популярными плагинами безопасности.

MiniOrange OTP Verification

Плагин, ориентированный на подтверждение входа и регистрации по одноразовым кодам, которые могут отправляться на email или по SMS. Имеет бесплатную версию с базовым функционалом и платные опции для расширенных возможностей.

Особенности:

Поддержка разных каналов доставки OTP.
Возможность настроить OTP на регистрацию, вход и смену пароля.
Интеграция с WooCommerce и другими плагинами.

Как реализовать авторизацию по OTP самостоятельно в WordPress

Общая идея и этапы

Реализация авторизации по OTP включает несколько шагов:

Пользователь вводит логин и пароль, как обычно.
Если данные верны, генерируется OTP и отправляется пользователю (email, SMS или приложение).
Пользователь вводит полученный код на дополнительной форме.
Система проверяет OTP и допускает пользователя к кабинету.

Для реализации нам понадобится создать дополнительный обработчик для валидации OTP и сохранять временные коды с привязкой к пользователю.

Пример кода: генерация и проверка OTP

Добавим в functions.php вашей темы или в отдельный плагин следующий код:

function wpcompany_generate_otp($user_id) {
    $otp = rand(100000, 999999); // Генерируем 6-значный код
    update_user_meta($user_id, '_wpcompany_otp', $otp);
    update_user_meta($user_id, '_wpcompany_otp_time', time());
    return $otp;
}

function wpcompany_verify_otp($user_id, $otp_input) {
    $otp = get_user_meta($user_id, '_wpcompany_otp', true);
    $time = get_user_meta($user_id, '_wpcompany_otp_time', true);
    $valid_time = 300; // 5 минут
    if (!$otp || !$time) return false;
    if (time() - $time > $valid_time) return false; // код протух
    if ($otp_input == $otp) {
        delete_user_meta($user_id, '_wpcompany_otp');
        delete_user_meta($user_id, '_wpcompany_otp_time');
        return true;
    }
    return false;
}

Этот код генерирует случайный 6-значный OTP, сохраняет его в метаданные пользователя с отметкой времени, а также проверяет введенный код на валидность и срок действия.

Отправка OTP на email после успешного ввода пароля

Чтобы отправить код пользователю, можно использовать функцию wp_mail:

function wpcompany_send_otp_email($user_id) {
    $user = get_userdata($user_id);
    $otp = wpcompany_generate_otp($user_id);
    $to = $user->user_email;
    $subject = 'Ваш одноразовый пароль (OTP)';
    $message = "Здравствуйте, {$user->display_name}!\nВаш одноразовый пароль для входа: {$otp}\nОн действует 5 минут.";
    wp_mail($to, $subject, $message);
}

Эту функцию можно вызвать после того, как пользователь успешно ввел логин и пароль.

Интеграция с процессом логина WordPress

Для добавления второго шага в форму логина нам нужно:

Перехватить стандартную авторизацию.
После проверки логина и пароля показывать форму для ввода OTP.
Проверять OTP перед завершением входа.

Ниже пример упрощенной реализации с использованием сессий для хранения состояния:

add_action('wp_authenticate', 'wpcompany_authenticate_with_otp', 10, 2);
function wpcompany_authenticate_with_otp($username, $password) {
    $user = wp_authenticate_username_password(null, $username, $password);
    if (is_wp_error($user)) {
        return $user; // неверные данные
    }
    session_start();
    $_SESSION['wpcompany_otp_user_id'] = $user->ID;
    wpcompany_send_otp_email($user->ID);
    wp_die('Проверьте email и введите одноразовый пароль. <form method="post"><input type="text" name="otp_code"/><input type="submit" value="Войти"/></form>');
}

add_action('init', function() {
    session_start();
    if (!empty($_POST['otp_code']) && !empty($_SESSION['wpcompany_otp_user_id'])) {
        $user_id = $_SESSION['wpcompany_otp_user_id'];
        $otp_input = sanitize_text_field($_POST['otp_code']);
        if (wpcompany_verify_otp($user_id, $otp_input)) {
            wp_set_current_user($user_id);
            wp_set_auth_cookie($user_id);
            unset($_SESSION['wpcompany_otp_user_id']);
            wp_redirect(home_url());
            exit;
        } else {
            wp_die('Неверный или просроченный код OTP.');
        }
    }
});

Этот код перехватывает попытку логина, при успешной проверке пароля отправляет OTP и останавливает дальнейший вход, предлагая ввести код. При вводе кода проверяется его валидность, и если все в порядке — пользователь авторизуется.

Выводы

Авторизация по OTP в WordPress — отличный способ повысить безопасность пользователей. С помощью описанных плагинов или собственного кода можно внедрить дополнительный уровень защиты без существенного усложнения пользовательского опыта. Внимательно тестируйте и адаптируйте решения под ваши задачи.

Если хотите ознакомиться с готовыми плагинами для повышения безопасности и оптимизации WordPress, рекомендуем посетить WPShop.ru.