WordPress · Lisäosa · v1.2.4
Markus Media Magic Login
Kirjautuminen ilman salasanaa tai salasanan jälkeen toisella tekijällä. Magic link, kertakoodi, TOTP ja passkeyt. Tilat ja roolit Security-välilehdellä.
- 49 €/vuosi + alv
- Vuositilaus, 12 kuukauden sopimus
Yleiskatsaus
Magic Login hoitaa WordPress-kirjautumisen sähköpostilinkillä, kertakoodilla tai salasanan jälkeen TOTP:llä / passkeylla. Sivuston tila (pelkkä magic, salasana + 2FA tai hybrid) asetetaan Security-välilehdellä. Lisäosa jaellaan Markus Median yksityisen päivitys-lisäosan kautta.
Asenna sivustolle vain yksi Magic Login -lisäosa. Poista muut vastaavat lisäosat ennen käyttöönottoa.
Ominaisuudet
Magic link ja koodi
Kirjautuminen sähköpostilinkillä tai kertakoodilla ({{MAGIC_LOGIN_CODE}}
sähköpostimallissa).
Kirjautumistilat
Passwordless, salasana + 2FA tai hybrid. Roolikohtaiset poikkeukset Security-välilehdellä.
TOTP ja passkeyt
Authenticator-sovellus (QR + varakoodit) ja WebAuthn-passkeyt. Rekisteröinti käyttäjäprofiilissa.
Lyhytkoodi ja lohko
Upota kirjautumislomake mille tahansa sivulle lyhytkoodilla
[magic_login_form] tai Gutenberg-lohkolla.
Raakavoimasuojaus
IP-kohtainen esto liian monen epäonnistuneen yrityksen jälkeen sekä kirjautumislinkkien rajoitus.
Käyttäjätunnusten suojaus
Sama vastaus riippumatta siitä, onko tiliä. Lomakkeella ei voi urkkia käyttäjätunnuksia.
Honeypot
Kevyt, CAPTCHA-vapaa roskapostisuojaus lomakkeille.
REST-rajapinta
Luo kirjautumislinkkejä ohjelmallisesti (valinnainen, oikeuksin rajattu).
Kirjautumistilat
Security-välilehti määrittää sivuston oletustilan. Roolikohtaiset säännöt voivat pakottaa magic-kirjautumisen, kieltää salasanan tai vaatia toisen tekijän.
| Tila | Käyttäytyminen |
|---|---|
passwordless |
Magic link / koodi ensisijainen. Ei 2FA:ta salasanan jälkeen. |
password_then_2fa |
Salasana ja magic-linkin käyttö vaativat rekisteröidyn TOTP:n tai passkeyn (tai kirjautuminen estetään kunnes tekijä on lisätty). |
hybrid |
Molemmat polut. 2FA salasanan / magic-kulutuksen jälkeen, kun tekijä on rekisteröity tai rooli vaatii sen. |
Passkeyt ovat oletuksena pois. Kytke Methods-kohdasta. Tarvitset HTTPS:n (tai localhostin) ja tuetun selaimen.
Vaatimukset
| WordPress | 5.0 tai uudempi (testattu 7.0) |
|---|---|
| PHP | 8.0 tai uudempi |
| Sähköposti | Toimiva lähtevä sähköposti (WP Mail / SMTP) |
| Päivitykset | Markus Media Updater ja voimassa oleva lisenssi |
Asennus
- Asenna ja aktivoi Markus Media Updater ja syötä sivustosi lisenssiavain.
- Avaa updaterin Selaa & asenna -välilehti ja asenna Magic Login.
- Aktivoi lisäosa.
- Avaa Asetukset → Markus Media Magic Login ja säädä asetukset.
Voit myös ladata ZIP-paketin ja asentaa sen käsin (Lisäosat → Lisää uusi → Lähetä), mutta updater tuo automaattiset päivitykset.
Kirjautumislomake
Upota lomake sivulle tai artikkeliin lyhytkoodilla:
[magic_login_form]
Tai lisää Gutenberg-editorissa Magic Login -lohko. Lomake näyttää
käyttäjätunnus- tai sähköpostikentän ja lähettää Magic linkin. Voit myös asettaa
magic loginin oletuskirjautumistavaksi, jolloin wp-login.php ohjaa
magic login -näkymään.
Asetukset
Asetukset löytyvät kohdasta Asetukset → Markus Media Magic Login (Login- ja Security-välilehdet). Login-taulukko alla. Kirjautumistilat, metodit ja roolit: Kirjautumistilat.
| Asetus | Kuvaus | Oletus |
|---|---|---|
| Force Magic Login |
Käyttää magic loginia oletuskirjautumistapana
wp-login.php-sivulla.
|
Pois |
| Show on Login Form | Lisää magic login -painikkeen vakiokirjautumislomakkeelle. | Päällä |
| Login Redirect URL | Minne käyttäjä ohjataan kirjautumisen jälkeen. Koskee kaikkia kirjautumisia, myös tavallista salasanakirjautumista. Suhteellinen polku tai saman sivuston osoite; tyhjä = roolin oletusnäkymä. | Tyhjä |
| Token Lifespan | Kirjautumislinkin voimassaoloaika (minuutteina / tunteina / päivinä). WP-Cron poistaa vanhentuneet. | 5 min |
| Token Validity | Kuinka monta kertaa linkkiä voi käyttää ennen mitätöintiä. | 1 |
| User Enumeration Protection | Sama vahvistus tuntemattomalle ja olemassa olevalle tilille. | Päällä |
| Honeypot Protection | Kevyt roskapostisuojaus lomakkeille. | Päällä |
| Brute Force Protection | IP-esto epäonnistuneiden yritysten jälkeen (estoaika, yritysten määrä, aikaikkuna). | Päällä |
| Login Request Throttling | Rajoittaa kirjautumislinkkien luontia aikaikkunassa. | Päällä |
| Auto Login Links | Lisää Magic linkin lähteviin sähköposteihin, jos vastaanottaja on käyttäjä. | Pois |
| REST API |
Ottaa käyttöön POST /wp-json/magic-login/v1/token -rajapinnan.
|
Pois |
Turvallisuus
Magic Login on suunniteltu turvalliseksi oletuksena. Keskeiset suojaukset:
- Raakavoimaesto tunnistautumisessa. Estetyn IP:n Magic linkit ja koodit hylätään ennen tunnisteen vertailua, ei pelkästään linkin pyyntölomakkeella.
- Käyttäjätunnusten suojaus. Tuntematon ja olemassa oleva tili saavat saman ”tarkista sähköpostisi” -vahvistuksen; urkintayritykset kerryttävät estolaskuria.
- Turvalliset oletukset. Raakavoimaesto, rajoitus ja honeypot ovat päällä uusilla asennuksilla.
- Vahvat tunnisteet. Kirjautumistunnisteet luodaan 160-bittisellä satunnaisuudella ja tallennetaan tiivisteenä (HMAC-SHA256).
- Kertakäyttöisyys ja vanhentuminen. Linkki toimii rajatun ajan ja rajatun määrän kertoja.
Sähköpostimalli
Sähköpostin otsikko ja sisältö ovat muokattavissa Login-välilehdellä. Käytettävissä on paikkamerkkejä, jotka korvataan lähetettäessä:
| Paikkamerkki | Sisältö |
|---|---|
{{MAGIC_LINK}} |
Kertakäyttöinen kirjautumislinkki |
{{MAGIC_LOGIN_CODE}} |
Kertakoodi (aktivoi koodikirjautumisen, kun mukana) |
{{USERNAME}} |
Käyttäjätunnus |
{{DISPLAY_NAME}} |
Näyttönimi |
{{SITENAME}} / {{SITEURL}} |
Sivuston nimi / osoite |
{{EXPIRES_WITH_INTERVAL}} |
Voimassaoloaika yksikköineen |
Tyhjä otsikko tai sisältö palautuu oletusmalliin. Login-välilehden Restore default template palauttaa oletukset.
Kirjautumisen ohjaus
Login Redirect URL -asetus määrää, minne käyttäjä laskeutuu
kirjautumisen jälkeen. Asetus koskee kaikkia kirjautumisia: sekä
Magic linkiä ja koodia että tavallista salasanakirjautumista
wp-login.php-sivulla. Kelpaa suhteellinen polku (esimerkiksi
/tili/) tai saman sivuston täysi osoite. Sivuston ulkopuoliset
osoitteet ohitetaan.
Ohjauksen etusijajärjestys
-
Kirjautumislinkin
redirect_to(esim. suojatulle sivulle vievä linkki) voittaa aina. - Asetuksen Login Redirect URL.
- Roolin oletusnäkymä (hallinta / profiili / etusivu).
Suodattimet login_redirect ja magic_login_redirect ajetaan
tämän päälle, joten ohjelmallinen hallinta säilyy.
REST-rajapinta
Kun REST API on käytössä, kirjautumislinkkejä voi luoda ohjelmallisesti:
POST /wp-json/magic-login/v1/token
Pyyntö vaatii kirjautuneen käyttäjän ja oikeudet kohdekäyttäjään (oma tili tai
edit_user-oikeus). Parametrit:
| Parametri | Kuvaus |
|---|---|
user |
Käyttäjätunnus, sähköposti tai käyttäjä-ID (pakollinen) |
send |
Lähetetäänkö linkki sähköpostina (oletus false) |
redirect_to |
Kirjautumisen jälkeinen ohjaus (validoidaan) |
Rajapinnalle voi ottaa käyttöön nopeusrajoituksen asetuksista.
Suodattimet kehittäjille
| Suodatin | Käyttö |
|---|---|
magic_login_remember_user |
Hallitse 14 päivän ”muista minut” -evästettä (oletus tosi). |
magic_login_redirect |
Muokkaa kirjautumisen jälkeistä ohjausta. |
magic_login_email_content |
Muokkaa sähköpostin sisältöä ennen lähetystä. |
magic_login_token_ttl_by_user |
Käyttäjäkohtainen tunnisteen voimassaoloaika. |
magic_login_settings_capability |
Asetussivun vaatima käyttöoikeus. |
Käyttöoikeus
Magic Login myydään vuositilauksella (49 €/vuosi + alv, 12 kuukauden sopimus). Käyttöoikeus perustuu Markus Median kaupalliseen WordPress-lisäosien käyttöoikeuteen.
- Tilaus sidotaan sivustosi verkkotunnukseen (sallittu lista).
- Voimassa olevan tilauksen aikana saat päivitykset ja tuen.
- Lisäosa toimitetaan PHP-lähdekoodina. Voit muokata sitä omalla sivustollasi.
- Et saa myydä, jakaa tai uudelleenlisensoida tuotepakettia.
Täydelliset ehdot: Käyttöehdot, kohta 10.
Usein kysyttyä
Voinko käyttää tätä toisen Magic Login -lisäosan kanssa?
Et. Poista muut Magic Login -lisäosat käytöstä ja poista ne ennen tämän asentamista. Sivustolla saa olla vain yksi.
Mitä jos käyttäjä ei saa sähköpostia?
Varmista, että sivuston lähtevä sähköposti toimii (suosittelemme SMTP-lisäosaa). Pyydä käyttäjää tarkistamaan myös roskaposti.
Voiko koodikirjautumisen ottaa käyttöön?
Kyllä. Lisää sähköpostimalliin {{MAGIC_LOGIN_CODE}}, jolloin
käyttäjä saa Magic linkin sijaan kertakoodin lomakkeelle syötettäväksi.
Onko lisäosa turvallinen oletuksena?
On. Raakavoimaesto, rajoitus, honeypot ja käyttäjätunnusten suojaus ovat päällä uusilla asennuksilla.
Vianmääritys
- ”Too many failed login attempts”. IP on estetty raakavoimasuojauksen vuoksi. Odota estoajan umpeutumista tai säädä asetuksia.
- Linkki vanhentunut. Kasvata Token Lifespan -arvoa tai pyydä uusi linkki.
-
Ohjaus ei toimi odotetusti. Muista etusijajärjestys: linkin
redirect_tovoittaa asetuksen. Sivuston ulkopuoliset osoitteet ohitetaan. - Sähköposti ei lähde. Tarkista lähtevä sähköposti; automaatiot, jotka lähettävät lomakkeen ilman honeypot-kenttää, voivat tulla estetyiksi.
Ota Magic Login käyttöön
49 €/vuosi + alv
Hanki tilaus asiakasportaalista tai kysy lisää. Autamme myös käyttöönotossa.