Websource Connexion sociale pour WordPress — référence développeur

Vue d'ensemble

• Espace de noms Websource\SocialLogin, classes dans src/ (PSR-4, chargeur intégré, aucune dépendance Composer).
• OAuth 2.0 « Authorization Code » ; OpenID Connect pour Google, LinkedIn, Microsoft et Apple (id_token RS256 vérifié avec le JWKS du réseau : iss, aud, azp, exp, iat, nbf, nonce).
• state de 32 octets, à usage unique, valable 10 minutes, lié au navigateur par le cookie wssl_bind (HttpOnly, SameSite=Lax ; None pour Apple qui répond en POST). PKCE S256 quand le réseau le gère.
• Aucun jeton d'accès n'est conservé. Les secrets sont chiffrés (libsodium secretbox, clé dérivée de wp_salt('secure_auth')).

Blocs

Les deux blocs sont rendus côté serveur (block.json, render_callback). L'éditeur est écrit avec wp.element.createElement, sans étape de build (blocks/editor.js).

Shortcodes

[websource_sociallogin place="login" force="1"]
[websource_sociallogin place="header"]
[websource_sociallogin_account]

force="0" respecte le réglage des emplacements. L'emplacement header impose la présentation compacte (grille d'icônes, sans mention RGPD).

Emplacements automatiques

Action de thème :

<?php do_action('websource_sociallogin', 'header'); ?>

Les feuilles assets/css/front.css et assets/js/front.js ne sont chargées que sur les pages où des boutons ou une page de l'extension sont rendus.

Adresses

Sans permaliens, les mêmes adresses s'écrivent /?wsx_sl=start, /?wsx_sl=callback, etc. Ces adresses ne sont pas des routes REST : elles ont besoin du cookie de session de WordPress.

Exemple de démarrage :

GET /websource-sociallogin/start?provider=google&back=%2Fboutique%2F
→ 302 Location: https://accounts.google.com/o/oauth2/v2/auth?response_type=code&client_id=…&redirect_uri=https%3A%2F%2Fvotre-site.fr%2Fwebsource-sociallogin%2Fcallback&scope=openid%20email%20profile&state=…&nonce=…&code_challenge=…&code_challenge_method=S256

En cas d'échec, l'utilisateur est renvoyé vers la page de connexion avec ?wsx_sl_msg=<clé> (err_session, err_provider, err_cancelled, err_rate, err_unavailable, err_csrf, err_disabled, err_linked_other, err_already_provider, err_attempts, err_registration_closed, msg_linked, msg_unlinked). Seules les clés connues sont affichées.

Routes REST

L'extension n'enregistre aucune route REST.

Actions

L'action WordPress wp_login est déclenchée à chaque connexion sociale.

Filtres

Exemple : interdire la connexion sociale aux administrateurs.

add_filter('websource_sociallogin_user_can_login', function ($ok, $user) {
    return $ok && !user_can($user, 'manage_options');
}, 10, 2);

Ajouter un réseau

Implémentez Websource\SocialLogin\Provider\ProviderInterface (ou étendez OidcProvider pour un fournisseur OpenID Connect), puis enregistrez-le :

add_action('websource_sociallogin_register_providers', function ($registry) {
    $registry->register(new Mon_Reseau_Provider());
});

Méthodes à fournir pour OidcProvider : id(), label(), defaultScopes(), usesPkce(), authorizeEndpoint(), tokenEndpoint(), jwksUrl(), issuer(), profileFromClaims(). L'identifiant suit ^[a-z][a-z0-9]{0,19}$. Le réseau apparaît alors dans l'écran de réglages avec ses champs.

Données

Limite de débit : 30 démarrages par tranche de 10 minutes et par adresse IP.

Variables CSS

Les boutons héritent du thème par des variables, toujours avec une valeur de repli.

Classes utiles : .wssl, .wssl--outline|brand|neutral, .wssl--stack|grid, .wssl--place-<emplacement>, .wssl-btn, .wssl-btn--<réseau>, .wssl-page, .wssl-rows, .wssl-notice.

Fonctions publiques

$plugin = Websource\SocialLogin\Plugin::instance();
$plugin->redirectUri();                 // URL de redirection
$plugin->endpointUrl('start', ['provider' => 'google']);
$plugin->activeProviders();             // ProviderInterface[]
$plugin->buttons()->render('login', false, true); // HTML des boutons
$plugin->account()->render(false);      // HTML de « Connexions sociales »
$plugin->links()->listForCustomer($userId);

Traduction

Domaine websource-sociallogin, chaînes sources en anglais, languages/websource-sociallogin-fr_FR.po|.mo. Les textes saisis (« Texte du bouton », « Mention RGPD ») sont déclarés à Polylang (pll_register_string) et à WPML (wpml-config.xml, wpml_register_single_string). Les guides pas à pas sont fournis en français et en anglais (src/Guide/data_fr.php, data_en.php).