Alireza Aminzadeh

Team Messenger is a WordPress plugin that adds secure, real-time messaging for logged-in users. It combines direct (1:1) chats, group rooms, optional end-to-end encryption for private threads, media uploads with administrator-controlled policies, presence, notification badges, pinned messages, and dedicated UIs on both the public site and in wp-admin.
Technical details and changelog notes may be published on the plugin support page or documentation as they are updated.
<h3>English — Numbered feature list</h3>
<ol>
<li>
Real-time direct messaging between logged-in WordPress users over the REST API (<code>team_messenger/v1</code>), with pagination for message history.
</li>
<li>
Optional end-to-end encryption (E2E) for direct messages: clients can exchange messages flagged as encrypted; public keys are stored per user via dedicated REST endpoints (<code>/keys</code>). Group chats remain readable on the server (plaintext server-side).
</li>
<li>
Full group chat lifecycle: create, read, update, and delete groups; set name, description, and a group avatar; list members; add or remove members; promote or demote roles via PATCH on members.
</li>
<li>
Rich media in chats: images, video, and audio attachments; optional voice messages recorded in the browser (MediaRecorder, typically WebM/WebA) with server-side MIME handling for reliable uploads.
</li>
<li>
Two upload contexts on <code>/media/upload</code>: <code>chat</code> for conversation attachments and <code>avatar</code> for group profile images, each with independent size and format rules enforced on the server.
</li>
<li>
Administrator-configurable media policy: separate maximum file sizes for chat (0.1–100 MB) and group avatars (0.1–50 MB); toggles for allowed chat categories (image / video / audio) and allowed avatar formats (e.g. JPEG, PNG, GIF, WebP). Limits are exposed to the client as hints; the server performs final validation.
</li>
<li>
Flexible storage for uploaded files: attachments can live in the WordPress Media Library or in a plugin-protected directory (<code>.htaccess</code> where applicable), with authenticated download through <code>/media/download/{file}</code> for the private storage path.
</li>
<li>
“Saved messages” (self-chat): a personal notebook thread with the current user as both sides, for notes and files.
</li>
<li>
Recent conversations: when no search query is sent, the user list prioritizes people you have recently messaged, without exposing the entire user directory.
</li>
<li>
Privacy-conscious user search: requires at least three characters and returns a capped number of results.
</li>
<li>
Presence (online / last seen): clients send a throttled heartbeat to <code>POST /presence</code>; <code>last_seen</code> and <code>is_online</code> are returned in user lists only when the viewer has shared DM history with that user or shares a group (privacy-preserving).
</li>
<li>
Notifications: <code>GET /notifications/counts</code> returns separate counts and text previews for new personal and group activity since the last acknowledgment; <code>POST /notifications/ack</code> supports <code>scope</code>: <code>all</code>, <code>personal</code>, or <code>group</code>.
</li>
<li>
WordPress admin bar integration: when the toolbar is visible, separate nodes show personal and group chat badges; dropdowns load preview snippets (periodic polling) and allow clearing notifications by scope. Non-administrators link to the site home; users with <code>manage_options</code> can jump to the full messenger screen.
</li>
<li>
Dashboard widgets (administrators): two WordPress Dashboard widgets—personal (1:1) and group—provide inline chat with the same REST capabilities as the main messenger (including pins and upload limits), visible only to users with <code>manage_options</code> who have not disabled admin chat.
</li>
<li>
Pinned messages: one pin per direct thread (stored in <code>team_messenger_direct_pins</code>) and one per group (<code>pinned_message_id</code>); pin/unpin from the floating widget, <code>[team_messenger_web_chat]</code>, admin messenger, and dashboard widgets; a pinned strip shows a snippet and scroll-to-message; pins clear if the underlying message is deleted.
</li>
<li>
Read state: opening a direct thread marks incoming messages from the partner as read (<code>is_read</code>). For groups, per-user last-read timestamps sync when the thread is opened; your own outgoing group messages can show read receipts (“sent” vs “read”) when all other members have caught up.
</li>
<li>
Message lifecycle: edit or soft-delete your own messages in direct and group threads (API supports edit/delete on owned messages).
</li>
<li>
Data retention: a daily scheduled event permanently removes soft-deleted direct and group messages whose <code>deleted_at</code> is older than 30 days (GDPR-oriented housekeeping).
</li>
<li>
Multiple surfaces: floating chat widget on the front end; full-page <code>[team_messenger_web_chat]</code> shortcode with configurable HTML fallback for guests; dedicated admin “Messenger” screen; optional floating FAB on all wp-admin screens (toggle in settings, respects per-user “hide admin chat”); admin bar badges; two dashboard widgets for admins.
</li>
<li>
Customization in settings: primary accent color, widget corner placement, welcome text, shortcode guest content (visual/HTML editor), and site-wide “show messenger on all wp-admin screens.”
</li>
<li>
Per-user preferences on the user profile: optionally hide front-end chat (widget + shortcode UI) and/or all wp-admin chat (floating messenger, full messenger page, admin bar nodes, dashboard widgets). Shortcode pages show a short notice if frontend chat is disabled for that user.
</li>
<li>
Abuse protection: rate limiting on sending messages and on creating groups to reduce spam and overload.
</li>
<li>
Internationalization: text domain <code>team-messenger</code>; Persian (<code>fa_IR</code>) and other translations can ship via the <code>languages</code> folder; English is the source language.
</li>
</ol>
<h3>فارسی — فهرست شماره‌دار امکانات</h3>
۱. پیام‌رسانی مستقیم (یک‌به‌یک) بین کاربران واردشدهٔ وردپرس از طریق REST API با نام فضای <code>team_messenger/v1</code> و صفحه‌بندی تاریخچهٔ پیام.
۲. رمزنگاری سرتاسری اختیاری برای گفتگوی خصوصی: امکان ذخیرهٔ پیام با پرچم رمزشده؛ کلیدهای عمومی با endpointهای <code>/keys</code> ذخیره و بازیابی می‌شوند. در گروه، متن روی سرور به‌صورت متن عادی قابل پردازش است.
۳. مدیریت کامل چت گروهی: ایجاد، ویرایش، حذف گروه؛ نام، توضیحات و آواتار گروه؛ فهرست و افزودن/حذف عضو؛ تغییر نقش با PATCH روی عضو.
۴. رسانهٔ غنی: تصویر، ویدیو و صوت؛ پیام صوتی با ضبط در مرورگر (معمولاً WebM/WebA) و نرمال‌سازی MIME در سرور.
۵. دو زمینهٔ آپلود در <code>/media/upload</code>: <code>chat</code> برای پیوست گفتگو و <code>avatar</code> برای تصویر پروفایل گروه، هر کدام با سقف حجم و فرمت مستقل و اعتبارسنجی سروری.
۶. سیاست رسانه از پنل مدیر: حداکثر حجم جدا برای چت (۰٫۱ تا ۱۰۰ مگابایت) و آواتار (۰٫۱ تا ۵۰ مگابایت)؛ روشن/خاموش بودن دسته‌های مجاز چت و فرمت‌های مجاز آواتار؛ اعداد به‌عنوان راهنما به کلاینت می‌رود، تصمیم نهایی با سرور است.
۷. ذخیره‌سازی انعطاف‌پذیر: کتابخانهٔ رسانهٔ وردپرس یا پوشهٔ محافظت‌شدهٔ افزونه با <code>.htaccess</code>؛ برای مسیر اختصاصی، دانلود امن با <code>/media/download/{file}</code> فقط برای کاربر احراز هویت‌شده.
۸. «پیام‌های ذخیره‌شده» (چت با خود): فضای شخصی برای یادداشت و فایل با همان کاربر به‌عنوان طرف گفتگو.
۹. گفتگوهای اخیر: بدون query جستجو، اولویت با کسانی است که اخیراً پیام داده‌اید؛ کل دایرکتوری کاربران افشا نمی‌شود.
۱۰. جستجوی کاربر با حریم خصوصی: حداقل سه کاراکتر و سقف تعداد نتیجه.
۱۱. حضور (آنلاین / آخرین فعالیت): ضربان throttled با <code>POST /presence</code>؛ نمایش <code>last_seen</code> و <code>is_online</code> فقط اگر سابقهٔ پیام خصوصی مشترک یا عضویت گروه مشترک وجود داشته باشد.
۱۲. اعلان‌ها: <code>GET /notifications/counts</code> شمارنده و پیش‌نمایش متن برای پیام شخصی و گروهی از زمان آخرین تأیید؛ <code>POST /notifications/ack</code> با <code>all</code> / <code>personal</code> / <code>group</code>.
۱۳. نوار ابزار وردپرس: دو گره جدا برای چت شخصی و گروهی با شمارنده و منوی کشویی (پolling برای پیش‌نمایش؛ پاک‌سازی محدوده‌ای). غیرمدیر به خانه؛ مدیر با <code>manage_options</code> به پیام‌رسان کامل.
۱۴. ویجت داشبورد (مدیران): دو ویجت جدا در پیشخوان وردپرس برای گفتگوی شخصی و گروهی با همان API (از جمله پین و محدودیت آپلود)؛ فقط برای <code>manage_options</code> و اگر چت ادمین خاموش نباشد.
۱۵. پیام پین‌شده: یک پین برای هر گفتگوی دو نفره و یک پین برای هر گروه؛ در ویجت، شورت‌کد، پیام‌رسان ادمین و داشبورد؛ نوار پین با اسکرول به پیام؛ با حذف پیام، پین هم حذف می‌شود.
۱۶. وضعیت خوانده‌شدن: باز کردن گفتگوی خصوصی، پیام‌های ورودی طرف را <code>is_read</code> می‌کند؛ در گروه، timestamp آخرین بازدید هر کاربر همگام می‌شود؛ برای پیام‌های خروجی خودتان می‌توان رسید «همه خواندند» را نشان داد.
۱۷. چرخهٔ پیام: ویرایش و حذف نرم پیام‌های خود در خصوصی و گروه از طریق API.
۱۸. نگهداری داده: رویداد زمان‌بندی‌شدهٔ روزانه؛ حذف دائمی رکوردهای <code>deleted_at</code> قدیمی‌تر از ۳۰ روز (جهت‌گیری GDPR).
۱۹. چند رابط: ویجت شناور سایت؛ شورت‌کد <code>[team_messenger_web_chat]</code> با محتوای قابل تنظیم برای مهمان؛ صفحهٔ پیام‌رسان ادمین؛ دکمهٔ شناور اختیاری در کل wp-admin (تنظیم سراسری + احترام به خاموش بودن چت ادمین برای کاربر)؛ آیتم نوار ابزار؛ دو ویجت داشبورد.
۲۰. شخصی‌سازی در تنظیمات: رنگ اصلی، گوشهٔ ویجت، متن خوش‌آمد، محتوای مهمان شورت‌کد، و روشن/خاموش بودن پیام‌رسان در تمام صفحات پنل.
۲۱. ترجیحات کاربری در پروفایل: پنهان کردن چت سایت و/یا چت wp-admin (شناور، صفحهٔ پیام‌رسان، نوار ابزار، ویجت‌ها). روی صفحهٔ شورت‌کد در صورت خاموش بودن، اعلان کوتاه.
۲۲. محافظت در برابر سوءاستفاده: محدودیت نرخ برای ارسال پیام و ایجاد گروه.
۲۳. چندزبانه: دامنهٔ <code>team-messenger</code>؛ پوشهٔ <code>languages</code> شامل fa_IR و POT؛ زبان پیش‌فرض متن انگلیسی است.

Team Messenger

Real-time team chat for logged-in users with optional E2E, groups, notifications, and admin UI.

andreyk

The plugin increases security of a site in case it has no SSL certificate, 
useful for owners of small sites who want to secure their passwords and 
other posted data but don’t want to buy SSL certificate for each domain 
and subdomain: it protects from sniffering the most important data such as 
passwords when they are being sent from forms of your site to the server.
When the form served by the plugin is submitted all input data are being 
joined into a string, then this string is being encrypted with AES algorythm 
by disposable key and only encrypred string will be sent.
A browser encrypts the disposable key in javascript by the RSA public key 
and sends it to the server; then the server decrypts it with the RSA private 
key and then use it to decrypt the posted data with AES.
Translations included: Ukrainian, Russian, German and Brazilian Portuguese.
I just adapted usage in WordPress the jCryption jQuery plugin, v. 3.1.0. 
Please check www.jcryption.org to learn how jCryption works.

WP jCryption Security

Prevents forms data against sniffing network traffic through encryption provided by jCryption javascript library.

Team Messenger vs WP jCryption Security