<p>MksDdn Reddy Auth provides OTP-based authentication with:</p>
<ul>
<li>WordPress cookie session login for the frontend (shortcode, or REST with <code>issue_session: true</code>).</li>
<li>Optional Bearer token issuing for REST clients (<code>issue_token: true</code>; cookie not set by default on REST login).</li>
<li>Rate limiting and one-time OTP verification.</li>
<li>Optional site and REST API protection for unauthenticated visitors.</li>
<li>Optional allowed request sources (Origin/Referer) for plugin REST endpoints.</li>
</ul>
<p>The plugin maps each Reddy ID to a WordPress user and can create an account automatically on first successful login.</p>
<h3>Getting Started</h3>
<h4>1. Configure the Reddy bot token</h4>
<p>For production, define the token in <code>wp-config.php</code>:</p>
<pre><code>define( 'MKSDDN_REDDY_BOT_TOKEN', 'your-bot-token' );
</code></pre>
<p>For local development you can store the token in <strong>Settings > Reddy Auth</strong> instead. Use <strong>Bot connection test</strong> to verify delivery to a Reddy user.</p>
<h4>2. Set up the login page</h4>
<p>Create a WordPress page (for example, <code>/login/</code>) and insert:</p>
<pre><code>[mksddn_reddy_login]
</code></pre>
<p>Users enter their Reddy ID, receive a one-time code in Reddy, and sign in through the form.</p>
<h4>3. Review protection settings</h4>
<p>By default, both protection options are <strong>disabled</strong> so your site stays accessible after activation. Enable them only after the login page is configured:</p>
<ul>
<li><strong>Protect site content</strong> — redirects unauthenticated visitors to the login page.</li>
<li><strong>Protect all REST API content</strong> — returns <code>401</code> for protected REST routes.</li>
</ul>
<p>Public auth routes remain available without login:</p>
<ul>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/send-code</code></li>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/login</code></li>
<li><code>GET /wp-json/mksddn-reddy-auth/v1/auth/intent-status</code></li>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/intent-status</code></li>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/complete-intent</code></li>
</ul>
<p>Webhook callback route is also public for BotMother integration:</p>
<ul>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/button-callback</code></li>
</ul>
<h4>4. Use REST API for headless clients</h4>
<p>Typical flow:</p>
<ol>
<li><code>POST /auth/send-code</code> with <code>{ "reddy_id": "123456" }</code></li>
<li><code>POST /auth/login</code> with <code>{ "reddy_id": "123456", "code": "111111", "issue_token": true }</code> for headless clients. Add <code>"issue_session": true</code> only when the browser must also receive a WordPress cookie (same-origin SPA).</li>
<li>Call protected REST routes with <code>Authorization: Bearer <token></code>.</li>
<li><code>GET /auth/me</code> to read the current user (Bearer or cookie session).</li>
<li><code>POST /auth/logout</code> to end the cookie session and revoke the Bearer token when provided.</li>
</ol>
<p>One-click flow:</p>
<ol>
<li><code>POST /auth/send-code</code> returns <code>intent_id</code> and <code>intent_secret</code> when one-click is enabled.</li>
<li>Poll <code>GET|POST /auth/intent-status</code> with <code>intent_id</code> + <code>intent_secret</code>.</li>
<li>After approval, finalize auth via <code>POST /auth/complete-intent</code> with <code>intent_id</code>, <code>intent_secret</code>, and optional <code>issue_token</code> / <code>issue_session</code>.</li>
</ol>
<p>For one-click polling, <code>intent-status</code> supports both:</p>
<ul>
<li><code>GET /auth/intent-status</code> with <code>intent_id</code> + <code>intent_secret</code> query params.</li>
<li><code>POST /auth/intent-status</code> with <code>intent_id</code> + <code>intent_secret</code> in JSON body.</li>
</ul>
<p><strong>Protect site content</strong> checks the WordPress cookie session (shortcode login or REST login with <code>issue_session: true</code>). It does not accept Bearer tokens. <strong>Protect all REST API content</strong> requires a Bearer token and ignores cookie-only sessions.</p>
<p>Download OpenAPI and Postman files from <strong>Settings > Reddy Auth > Developer Resources</strong>.</p>
<h4>5. Optional: restrict REST callers by browser source</h4>
<p>In <strong>Settings > Reddy Auth</strong>, <strong>Allowed request sources</strong> limits plugin REST traffic (<code>/mksddn-reddy-auth/v1/*</code>) to listed <code>Origin</code> or <code>Referer</code> URLs. Leave empty to allow any client (recommended for server-to-server integrations). This is a soft guard for browser apps, not a secret key.</p>
<h4>6. Optional: harden one-click webhook verification</h4>
<p>In <strong>Settings > Reddy Auth > One-Click Authorization</strong>, set <strong>Webhook secret (optional)</strong> to match BotMother webhook Secret.</p>
<ul>
<li>With a configured secret, webhook signature verification uses <code>sha256(body + bot_token + "." + webhook_secret)</code>.</li>
<li>With an empty secret, compatibility mode uses <code>sha256(body + bot_token)</code>.</li>
</ul>
<h3>External services</h3>
<p>This plugin connects to the <strong>Reddy bot API</strong> at <code>https://bot.reddy.team</code> to deliver one-time passwords and optional admin connection test messages.</p>
<p><strong>What the service is used for</strong></p>
<ul>
<li>Deliver OTP codes to a Reddy user during login.</li>
<li>Send an optional admin “bot connection test” message from <strong>Settings > Reddy Auth</strong>.</li>
</ul>
<p><strong>What data is sent and when</strong></p>
<ul>
<li><strong>OTP send / login:</strong> Reddy user ID (<code>userKey</code>) and message text containing the one-time code (and expiry hint). Message text is configurable in <strong>Settings > Reddy Auth > Bot Messages</strong> (placeholders <code>{code}</code>, <code>{ttl}</code>). Sent when a user requests a code via the login form or REST API.</li>
<li><strong>Bot connection test:</strong> Reddy user ID (<code>userKey</code>) and a configurable test message from <strong>Settings > Reddy Auth > Bot Messages</strong>. Sent only when an administrator runs <strong>Bot connection test</strong> in <strong>Settings > Reddy Auth</strong>.</li>
<li><strong>Bot token:</strong> Your bot token is included in the API request URL path (configured via <code>MKSDDN_REDDY_BOT_TOKEN</code> in <code>wp-config.php</code> or the development fallback field in settings). It is not sent to WordPress.org.</li>
</ul>
<p>Data is transmitted only when OTP delivery or the connection test is triggered. The plugin does not send site content, post data, or WordPress user passwords to Reddy.</p>
<p>This service is provided by Reddy: terms of use and privacy policy at https://help.reddy.team/pages/user-agreement</p>
<p>No other third-party services are required for core plugin operation.</p>


MksDdn Reddy Auth

Authenticate WordPress users via Reddy OTP flow for monolith and REST API clients.

Abolfazl Edalati

Alimnejad

<p>EZ Login یک افزونه ورود و ثبت نام OTP برای وردپرس است. این افزونه امکان ورود کاربران با شماره موبایل و کد یکبار مصرف، ورود با Google، فرم قابل استفاده در شورت کد و Elementor، کپچای ورود و ثبت نام، محدودسازی تلاش های ورود و اعلان سفارشات ووکامرس را فراهم می کند.</p>
<p>تمرکز افزونه روی مسیرهای ورود قابل اعتماد است: پیامک و گوگل. ربات بله فقط برای ارسال اعلان سفارشات ووکامرس به مدیر سایت استفاده می شود و ورود کاربران با بله یا تلگرام در افزونه فعال نیست.</p>
<h4>امکانات اصلی</h4>
<ul>
<li>ورود و ثبت نام با شماره موبایل و OTP</li>
<li>ارسال پیامک با ملی پیامک، حالت پترن به صورت پیش فرض</li>
<li>تست کامل ملی پیامک در همان صفحه تنظیمات پیامک</li>
<li>ورود با Google OAuth</li>
<li>ویجت Elementor و شورت کد <code>[ez-login]</code></li>
<li>کپچای یکپارچه برای ورود و ثبت نام</li>
<li>Rate Limit پیشرفته برای شماره موبایل، IP، User Agent و تلاش اشتباه کد تایید</li>
<li>سفارشی سازی صفحه wp-login.php</li>
<li>اعلان سفارشات ووکامرس از طریق پیامک</li>
<li>اعلان سفارشات ووکامرس به مدیران در بله</li>
<li>ثبت چند مدیر بله با Chat ID یا از طریق دستور ثبت داخل ربات</li>
<li>امکان ارسال اعلان بله به کانال یا گروه خصوصی</li>
</ul>
<h4>اعلان سفارشات در بله</h4>
<p>بخش اعلان سفارشات دو تب جدا دارد:</p>
<ul>
<li>پیامک ها: تنظیمات ارسال پیامک به مشتری و مدیر</li>
<li>بله و اعلان مدیر: تنظیمات ربات بله، ثبت مدیرها، کانال یا گروه خصوصی و قالب پیام بله</li>
</ul>
<p>برای بله می توانید چند Chat ID عددی مدیر وارد کنید، یا یک کانال/گروه خصوصی به ربات بدهید و مدیران را داخل آن عضو کنید. برای مدیرها نباید username مثل @username وارد شود؛ مقدار درست باید Chat ID عددی دریافت شده از وبهوک، دستور ثبت یا دستور /id باشد. همچنین مدیر می تواند از طریق دستور ثبت داخل ربات، Chat ID خودش را به افزونه اضافه کند. ربات فقط به دستورهای /start، /help، /id و دستور ثبت مدیر پاسخ می دهد و به پیام های عادی جواب خودکار نمی فرستد.</p>
<h3>External Services</h3>
<p>این افزونه برای برخی قابلیت ها به سرویس های خارجی متصل می شود. استفاده از هر سرویس فقط در صورتی انجام می شود که همان قابلیت را در تنظیمات افزونه فعال و اطلاعات اتصال آن را وارد کرده باشید.</p>
<ul>
<li>ملی پیامک: برای ارسال کد یکبار مصرف و پیامک های سفارش. اطلاعات ارسالی شامل شماره موبایل گیرنده، متن پیام یا کد پترن و متغیر پترن است. سرویس: https://melipayamak.com/</li>
<li>Google OAuth: برای ورود با گوگل. کاربر برای احراز هویت به Google هدایت می شود و پس از تایید، اطلاعات پایه حساب مثل ایمیل و نام برای ساخت یا ورود کاربر استفاده می شود. سرویس: https://accounts.google.com/</li>
<li>Bale Bot API: فقط برای ارسال اعلان سفارشات ووکامرس به مدیران در بله. اطلاعات ارسالی شامل Chat ID مقصد و متن اعلان سفارش است. سرویس: https://tapi.bale.ai/</li>
<li>Cloudflare Turnstile، Google reCAPTCHA یا hCaptcha: در صورت فعال کردن کپچا، پاسخ کپچا برای اعتبارسنجی به سرویس انتخاب شده ارسال می شود. سرویس ها: https://challenges.cloudflare.com/ ، https://www.google.com/recaptcha/ ، https://www.hcaptcha.com/</li>
</ul>


EZ Login | ورود پیامکی، گوگل و OTP

ورود و ثبت نام بدون رمز عبور با پیامک و گوگل، اعلان سفارشات ووکامرس، ویجت المنتور، کپچا و کنترل امنیتی پیشرفته.

MksDdn Reddy Auth vs EZ Login | ورود پیامکی، گوگل و OTP