<p>MksDdn Reddy Auth provides OTP-based authentication with:</p>
<ul>
<li>WordPress cookie session login for the frontend (shortcode, or REST with <code>issue_session: true</code>).</li>
<li>Optional Bearer token issuing for REST clients (<code>issue_token: true</code>; cookie not set by default on REST login).</li>
<li>Rate limiting and one-time OTP verification.</li>
<li>Optional site and REST API protection for unauthenticated visitors.</li>
<li>Optional allowed request sources (Origin/Referer) for plugin REST endpoints.</li>
</ul>
<p>The plugin maps each Reddy ID to a WordPress user and can create an account automatically on first successful login.</p>
<h3>Getting Started</h3>
<h4>1. Configure the Reddy bot token</h4>
<p>For production, define the token in <code>wp-config.php</code>:</p>
<pre><code>define( 'MKSDDN_REDDY_BOT_TOKEN', 'your-bot-token' );
</code></pre>
<p>For local development you can store the token in <strong>Settings > Reddy Auth</strong> instead. Use <strong>Bot connection test</strong> to verify delivery to a Reddy user.</p>
<h4>2. Set up the login page</h4>
<p>Create a WordPress page (for example, <code>/login/</code>) and insert:</p>
<pre><code>[mksddn_reddy_login]
</code></pre>
<p>Users enter their Reddy ID, receive a one-time code in Reddy, and sign in through the form.</p>
<h4>3. Review protection settings</h4>
<p>By default, both protection options are <strong>disabled</strong> so your site stays accessible after activation. Enable them only after the login page is configured:</p>
<ul>
<li><strong>Protect site content</strong> — redirects unauthenticated visitors to the login page.</li>
<li><strong>Protect all REST API content</strong> — returns <code>401</code> for protected REST routes.</li>
</ul>
<p>Public auth routes remain available without login:</p>
<ul>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/send-code</code></li>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/login</code></li>
<li><code>GET /wp-json/mksddn-reddy-auth/v1/auth/intent-status</code></li>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/intent-status</code></li>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/complete-intent</code></li>
</ul>
<p>Webhook callback route is also public for BotMother integration:</p>
<ul>
<li><code>POST /wp-json/mksddn-reddy-auth/v1/auth/button-callback</code></li>
</ul>
<h4>4. Use REST API for headless clients</h4>
<p>Typical flow:</p>
<ol>
<li><code>POST /auth/send-code</code> with <code>{ "reddy_id": "123456" }</code></li>
<li><code>POST /auth/login</code> with <code>{ "reddy_id": "123456", "code": "111111", "issue_token": true }</code> for headless clients. Add <code>"issue_session": true</code> only when the browser must also receive a WordPress cookie (same-origin SPA).</li>
<li>Call protected REST routes with <code>Authorization: Bearer <token></code>.</li>
<li><code>GET /auth/me</code> to read the current user (Bearer or cookie session).</li>
<li><code>POST /auth/logout</code> to end the cookie session and revoke the Bearer token when provided.</li>
</ol>
<p>One-click flow:</p>
<ol>
<li><code>POST /auth/send-code</code> returns <code>intent_id</code> and <code>intent_secret</code> when one-click is enabled.</li>
<li>Poll <code>GET|POST /auth/intent-status</code> with <code>intent_id</code> + <code>intent_secret</code>.</li>
<li>After approval, finalize auth via <code>POST /auth/complete-intent</code> with <code>intent_id</code>, <code>intent_secret</code>, and optional <code>issue_token</code> / <code>issue_session</code>.</li>
</ol>
<p>For one-click polling, <code>intent-status</code> supports both:</p>
<ul>
<li><code>GET /auth/intent-status</code> with <code>intent_id</code> + <code>intent_secret</code> query params.</li>
<li><code>POST /auth/intent-status</code> with <code>intent_id</code> + <code>intent_secret</code> in JSON body.</li>
</ul>
<p><strong>Protect site content</strong> checks the WordPress cookie session (shortcode login or REST login with <code>issue_session: true</code>). It does not accept Bearer tokens. <strong>Protect all REST API content</strong> requires a Bearer token and ignores cookie-only sessions.</p>
<p>Download OpenAPI and Postman files from <strong>Settings > Reddy Auth > Developer Resources</strong>.</p>
<h4>5. Optional: restrict REST callers by browser source</h4>
<p>In <strong>Settings > Reddy Auth</strong>, <strong>Allowed request sources</strong> limits plugin REST traffic (<code>/mksddn-reddy-auth/v1/*</code>) to listed <code>Origin</code> or <code>Referer</code> URLs. Leave empty to allow any client (recommended for server-to-server integrations). This is a soft guard for browser apps, not a secret key.</p>
<h4>6. Optional: harden one-click webhook verification</h4>
<p>In <strong>Settings > Reddy Auth > One-Click Authorization</strong>, set <strong>Webhook secret (optional)</strong> to match BotMother webhook Secret.</p>
<ul>
<li>With a configured secret, webhook signature verification uses <code>sha256(body + bot_token + "." + webhook_secret)</code>.</li>
<li>With an empty secret, compatibility mode uses <code>sha256(body + bot_token)</code>.</li>
</ul>
<h3>External services</h3>
<p>This plugin connects to the <strong>Reddy bot API</strong> at <code>https://bot.reddy.team</code> to deliver one-time passwords and optional admin connection test messages.</p>
<p><strong>What the service is used for</strong></p>
<ul>
<li>Deliver OTP codes to a Reddy user during login.</li>
<li>Send an optional admin “bot connection test” message from <strong>Settings > Reddy Auth</strong>.</li>
</ul>
<p><strong>What data is sent and when</strong></p>
<ul>
<li><strong>OTP send / login:</strong> Reddy user ID (<code>userKey</code>) and message text containing the one-time code (and expiry hint). Message text is configurable in <strong>Settings > Reddy Auth > Bot Messages</strong> (placeholders <code>{code}</code>, <code>{ttl}</code>). Sent when a user requests a code via the login form or REST API.</li>
<li><strong>Bot connection test:</strong> Reddy user ID (<code>userKey</code>) and a configurable test message from <strong>Settings > Reddy Auth > Bot Messages</strong>. Sent only when an administrator runs <strong>Bot connection test</strong> in <strong>Settings > Reddy Auth</strong>.</li>
<li><strong>Bot token:</strong> Your bot token is included in the API request URL path (configured via <code>MKSDDN_REDDY_BOT_TOKEN</code> in <code>wp-config.php</code> or the development fallback field in settings). It is not sent to WordPress.org.</li>
</ul>
<p>Data is transmitted only when OTP delivery or the connection test is triggered. The plugin does not send site content, post data, or WordPress user passwords to Reddy.</p>
<p>This service is provided by Reddy: terms of use and privacy policy at https://help.reddy.team/pages/user-agreement</p>
<p>No other third-party services are required for core plugin operation.</p>


MksDdn Reddy Auth

Authenticate WordPress users via Reddy OTP flow for monolith and REST API clients.

PersianScript

Mahdi Yousefi [MahdiY]

Nabik.Net

<p>پینوا جایگزینی مدرن برای ورود سنتی با نام کاربری و رمز عبور است.</p>
<p>کاربران می‌توانند تنها با وارد کردن شماره تلفن همراه یا ایمیل خود، کد تأیید دریافت کرده و وارد سایت شوند. در صورت عدم وجود حساب کاربری، حساب به صورت خودکار ایجاد می‌شود.</p>
<p>این افزونه برای سایت‌های وردپرسی، فروشگاه‌های ووکامرس، سامانه‌های آموزشی، سایت‌های عضویت ویژه و هر وب‌سایتی که نیاز به احراز هویت ساده و سریع دارد مناسب است.</p>
<h4>امکانات</h4>
<ul>
<li>ورود و عضویت با رمز یکبار مصرف (OTP)</li>
<li>ورود و عضویت با شماره موبایل</li>
<li>ورود با ایمیل و نام کاربری</li>
<li>ارسال کد تأیید از طریق پیامک</li>
<li>ارسال کد تأیید از طریق ایمیل</li>
<li>ارسال کد تأیید از طریق پیام صوتی</li>
<li>ارسال کد تأیید از طریق پیام‌رسان بله</li>
<li>ثبت‌نام خودکار و هوشمند کاربران جدید</li>
<li>تأیید شماره موبایل کاربران</li>
<li>سازگاری با تسویه حساب ووکامرس</li>
<li>سازگاری با فرم ورود و عضویت ووکامرس</li>
<li>امکان تعیین نقش پیشفرض کاربران جدید</li>
<li>امکان ورود مدیران با نام کاربری و کلمه عبور</li>
<li>قابلیت مسدودسازی تلفن همراه، ایمیل و آی.پی</li>
<li>خروجی اکسل کاربران با تلفن همراه</li>
<li>خروجی VCF (مخاطبین) کاربران</li>
</ul>
<h4>سامانه‌های پیامکی</h4>
<ul>
<li><a href="https://l.nabik.net/melipayamak?utm_source=pinova" title="ملی‌پیامک" rel="nofollow ugc">melipayamak – ملی پیامک</a></li>
<li><a href="http://maxsms.co" title="مکس‌اس‌ام‌اس" rel="nofollow ugc">maxsms – مکس اس ام اس</a></li>
<li><a href="https://panelchi.com" title="پنل چی" rel="nofollow ugc">panelchi – پنلچی</a></li>
<li><a href="https://wordpress.org/plugins/persian-woocommerce-sms/" title="افزونه پیامک حرفه‌ای Persian woocommerce sms" rel="ugc">افزونه Persian woocommerce sms</a></li>
</ul>
<h4>سازگاری</h4>
<p>پینوا به صورت پیشفرض با وردپرس و افزونه و قالب های استاندارد آن سازگار هست، اما با افزونه ها و قالب‌های زیر سازگاری ویژه دارد:</p>
<ul>
<li>افزونه ووکامرس</li>
<li>افزونه گرویتی فرمز</li>
<li>افزونه Perfmatters</li>
<li>افزونه WP Rocket</li>
<li>قالب وودمارت</li>
<li>قالب فلت سام</li>
</ul>


پینوا | Pinova

پینوا یک افزونه رایگان، متن‌باز و سبک برای ورود و عضویت کاربران وردپرس با رمز یکبار مصرف (OTP) از طریق تلفن همراه، ایمیل، پیامک و پیام‌رسان بله است.

MksDdn Reddy Auth vs پینوا | Pinova