Gatey · Identitätsleitfaden
Der vollständige Leitfaden zu Amazon Cognito für WordPress mit Gatey
WordPress kann die Inhalts- und Bearbeitungsebene bleiben, ohne zugleich sämtliche Zugangsdaten und Anmeldeabläufe zu verwalten. Amazon Cognito stellt den verwalteten Identitätsdienst bereit. Gatey bringt Anmeldung, Registrierung, Mehrfaktor-Anmeldung, Kontoseiten, SSO und tokenbasierte Anbindungen über native Blöcke und browserseitige Abläufe in WordPress.
Das Modell
Trennen Sie die WordPress-Inhaltsverwaltung von der Kundenidentität.
Cognito verwaltet Identitäten
Wenn Sie Amazon Cognito statt WordPress als Identitätsebene der Anwendung nutzen, beginnen Sie mit einem User Pool. Er verwaltet Konten, Anmelderegeln, MFA, Attribute, Verbundzugänge und Tokens außerhalb der WordPress-Datenbank.
Gatey gestaltet das Erlebnis
Gutenberg-Blöcke, Elementor-Widgets und Shortcodes platzieren Anmeldung und Kontofunktionen dort, wo das Website-Design sie benötigt.
Der Browser verbindet beide
Ein öffentlicher App-Client ohne Client-Geheimnis lässt das Frontend mit Cognito kommunizieren, ohne Passwörter oder Cognito-Geheimnisse in WordPress zu speichern.
01 · Grundlagen
Welche Cognito-Bausteine sind für ein WordPress-Projekt wichtig?
Ein User Pool ist das Kontoverzeichnis und der Anmeldedienst. Er steuert Registrierung, Anmeldung, Kennwortwiederherstellung, MFA, Standard- und eigene Attribute, Gruppen sowie die Verbindung mit externen Identitätsanbietern. Wenn ein Projekt WordPress mit vorhandenen SAML- und OIDC-Anbietern verbinden muss, hält die Cognito-Verbundanmeldung diese Verbindungen außerhalb von WordPress.
Ein App-Client legt fest, wie die Browseranwendung den User Pool verwendet. Für eine reine Frontend-Anbindung an WordPress nutzen Sie einen App-Client ohne Client-Geheimnis. Ein Identity Pool ist optional und wird wichtig, wenn angemeldete Nutzer vorübergehende AWS-Zugangsdaten für signierte AWS-Aufrufe benötigen.
- User Pool: Konten, Regeln, Gruppen, Verbundzugänge und JWT-Tokens.
- App-Client: erlaubte Browserabläufe, Rücksprungadressen, Berechtigungsbereiche und Tokenverhalten.
- Identity Pool: vorübergehende AWS-Zugangsdaten für IAM-gesteuerten Zugriff.
Diese getrennten Zuständigkeiten machen die Integration leichter absicherbar und verständlicher. Zur Entscheidung können Sie Amazon Cognito mit der nativen WordPress-Authentifizierung vergleichen: bei Passwortspeicherung, MFA, sozialer Anmeldung, API-Sicherheit und statischer Auslieferung. Der Leitfaden zur Authentifizierung der WordPress REST API beschreibt sowohl die Cookie-Authentifizierung als auch Anwendungspasswörter; API-Sicherheit ist nicht auf Cookies beschränkt.
Standard-WordPress und Amazon Cognito im Vergleich
| Merkmal | Standard-WordPress | Amazon Cognito |
|---|---|---|
| Kennwortspeicherung | Passwort-Hashes in der WordPress-Datenbank | In Cognito verwaltet, außerhalb von WordPress |
| MFA | Über zusätzliche Plugins | Integriert |
| Soziale Anmeldung | Über Drittanbieter-Plugins | Unterstützte soziale Anbieter über die von Cognito gehostete Anmeldung |
| API-Sicherheit | Cookies mit Nonces; Anwendungspasswörter für entfernte REST-Aufrufe | JWT-Validierung; optionaler Identity Pool für IAM-Anmeldedaten |
| Funktioniert nach statischem Export | Erfordert ein laufendes WordPress-Backend | Die Browser-Authentifizierung kann nach dem Export Cognito verwenden |
02 · Einrichtung
Wie verbinden Sie Gatey mit einem Cognito User Pool?
Installieren Sie Gatey, öffnen Sie die Einstellungen im SmartCloud-Menü und tragen Sie User-Pool-ID, App-Client-ID und AWS-Region ein. Erstellen Sie anschließend eine WordPress-Seite und fügen Sie den Gatey-Authenticator-Block für Anmeldung, Registrierung, Kennwortwiederherstellung, MFA oder Kontobearbeitung hinzu.
Wählen Sie eine eindeutige Startansicht und Sprache. Prüfen Sie dann, ob die Rücksprung- und Abmeldeadressen in Cognito exakt den Website-Routen entsprechen. Wenn Sie eine gehostete Verbundanmeldung verwenden, richten Sie die Cognito-Domain ein und aktivieren Sie die benötigten Anbieter am App-Client.
- Verwenden Sie für Browserabläufe einen App-Client ohne Geheimnis.
- Gleichen Sie Rücksprung- und Abmeldeadressen einschließlich Protokoll und Pfad exakt ab.
- Testen Sie Registrierung, Bestätigung, Anmeldung, Kennwortwiederherstellung und Abmeldung getrennt.
Beginnen Sie mit dem kleinsten funktionierenden Ablauf, bevor Sie eigene Felder, externe Anbieter, Gruppen oder API-Rechte ergänzen.
03 · Nutzungserlebnis
Was bietet Gatey über ein einfaches Anmeldeformular hinaus?
Gatey stellt ein wiederverwendbares Anmeldeerlebnis für Gutenberg, Elementor und Shortcode-Layouts bereit. Dazu gehören Anmeldung, Registrierung, MFA, Kennwortzurücksetzung, Profilbearbeitung, Kontoattribute und 22 integrierte Oberflächensprachen mit einer Option für eigene Übersetzungen.
Das Plugin kann Kontoinformationen in Seitenlayouts anzeigen und das Frontend anhand von Anmeldestatus, Attributen oder Gruppen steuern. Da der Anmeldeablauf im Browser läuft, funktioniert derselbe Ansatz nach einem statischen Export weiter und kann eine Anmeldung zu statischem WordPress hinzufügen, ohne PHP-Sitzungen zurückzubringen.
- Nutzen Sie den Authenticator-Block für Kontoabläufe.
- Verwenden Sie Kontoattribut-Blöcke für profilabhängige Seiteninhalte.
- Nutzen Sie eigene Übersetzungen und Schreibrichtungseinstellungen für mehrsprachige Websites.
Die WordPress-Seite bleibt bearbeitbar, während Cognito die maßgebliche Quelle für Identitäten bleibt.
04 · API-Zugriff
Wie erreichen angemeldete Nutzer geschützte APIs?
Cognito stellt ID-Tokens für Identitätsinformationen und Zugriffstokens für die Autorisierung aus. Verwenden Sie den Token-Typ, den die Autorisierungskomponente der API erwartet. Prüfen Sie Signatur, Aussteller, Ablaufzeit und Verwendungszweck und setzen Sie anschließend die erforderlichen Berechtigungen oder Scopes durch. AWS beschreibt die Rolle des Cognito-Zugriffstokens. Die Cognito-Identitätsarchitektur zeigt, wie Browser-Tokens geschützte APIs erreichen, ohne die Sitzung zurück durch WordPress zu leiten.
Für direkte AWS-Aufrufe aus dem Browser kann ein Identity Pool die angemeldete Sitzung gegen vorübergehende IAM-Zugangsdaten tauschen. Diese sollten eng begrenzte Rollen annehmen, die nur die erforderlichen API-Gateway-Methoden oder AWS-Ressourcen erlauben.
- Nutzen Sie JWT-Berechtigungen für Anwendungs-APIs, die Cognito-Tokens verstehen.
- Verwenden Sie vorübergehende IAM-Zugangsdaten nur, wenn SigV4-Zugriff nötig ist.
- Trennen Sie öffentliche, angemeldete und administrative Routen.
Die Anmeldung bestätigt, wer ein Nutzer ist. Die Berechtigung braucht weiterhin eine klare Regel dafür, was dieser Nutzer tun darf.
Sicherheitsregel
Speichern Sie niemals ein Cognito-Client-Geheimnis in einer Browseranbindung.
Ein Client-Geheimnis kann in öffentlichem JavaScript oder auf einer statisch exportierten Seite nicht vertraulich bleiben. Nutzen Sie einen öffentlichen App-Client ohne Geheimnis und schützen Sie Backend-Vorgänge mit Tokens, IAM, Berechtigungsbereichen und routenspezifischen Regeln.
Nächster Schritt
Bauen Sie zuerst den Identitätsablauf, bevor Sie jede Ansicht gestalten.
Sehen Sie sich Gatey an und folgen Sie anschließend der Dokumentation, um User Pool, App-Client, Routen und das benötigte Berechtigungsmodell einzurichten.