Gatey · Guía de identidad
Guía completa de Amazon Cognito para WordPress con Gatey
WordPress puede seguir siendo la capa de contenido y edición sin encargarse también de todas las credenciales y procesos de acceso. Amazon Cognito aporta el servicio gestionado de identidad, mientras Gatey integra en WordPress el acceso, el registro, la autenticación multifactor, las cuentas, el SSO y las conexiones basadas en tokens mediante bloques nativos y procesos del navegador.
El modelo
Separe la gestión de contenido de WordPress de la identidad de los clientes.
Cognito gestiona la identidad
Para usar Amazon Cognito en lugar de WordPress como capa de identidad, empiece por un User Pool. Gestiona cuentas, reglas de acceso, MFA, atributos, federación y tokens fuera de la base de datos de WordPress.
Gatey ofrece la experiencia
Los bloques de Gutenberg, widgets de Elementor y shortcodes colocan el acceso y las cuentas donde los necesita el diseño.
El navegador los conecta
Un cliente público de aplicación sin secreto permite al frontal comunicarse con Cognito sin guardar contraseñas ni secretos de Cognito en WordPress.
01 · Conceptos
¿Qué componentes de Cognito importan en un proyecto WordPress?
Un User Pool es el directorio de cuentas y el servicio de autenticación. Controla el registro, el acceso, la recuperación de contraseña, MFA, atributos normales y propios, grupos y federación con proveedores externos. Cuando un proyecto debe conectar WordPress con proveedores SAML u OIDC existentes, la federación de Cognito mantiene esas conexiones fuera de WordPress.
Un cliente de aplicación define cómo usa el navegador el User Pool. Para una integración de WordPress solo en el frontal, utilice un cliente sin secreto. Un Identity Pool es opcional y sirve cuando los usuarios autenticados necesitan credenciales temporales de AWS para realizar llamadas firmadas.
- User Pool: cuentas, reglas, grupos, federación y tokens JWT.
- Cliente de aplicación: procesos permitidos, direcciones de retorno, ámbitos y comportamiento de los tokens.
- Identity Pool: credenciales temporales de AWS para accesos autorizados por IAM.
Separar estas funciones facilita proteger y explicar la integración. Para orientar la decisión, compare Amazon Cognito con la autenticación nativa de WordPress en almacenamiento de contraseñas, MFA, inicio de sesión social, seguridad de API y entrega estática. La guía de autenticación de la API REST de WordPress documenta tanto la autenticación mediante cookies como las contraseñas de aplicación; la seguridad de las API no se limita a las cookies.
WordPress predeterminado frente a Amazon Cognito
| Función | WordPress predeterminado | Amazon Cognito |
|---|---|---|
| Almacenamiento de contraseñas | Hashes de contraseñas en la base de datos de WordPress | Gestionadas en Cognito, fuera de WordPress |
| MFA | Mediante plugins adicionales | Integrado |
| Acceso social | Plugins de terceros | Proveedores sociales compatibles mediante el inicio de sesión alojado en Cognito |
| Seguridad de API | Cookies con nonces; contraseñas de aplicación para llamadas REST remotas | Validación de JWT; Identity Pool opcional para credenciales de IAM |
| Funciona tras una exportación estática | Requiere un backend de WordPress en funcionamiento | La autenticación en el navegador puede utilizar Cognito tras la exportación |
02 · Configuración
¿Cómo se conecta Gatey con un User Pool de Cognito?
Instale Gatey, abra sus ajustes en el menú SmartCloud y añada el identificador del User Pool, el del cliente de aplicación y la región de AWS. Después, cree una página y añada el bloque Gatey Authenticator para acceso, registro, recuperación de contraseña, MFA o edición de cuenta.
Elija una pantalla inicial y un idioma claros. Compruebe que las direcciones de retorno y salida de Cognito coinciden exactamente con las rutas del sitio. Si usa federación alojada, configure el dominio de Cognito y active los proveedores necesarios en el cliente.
- Use un cliente de aplicación sin secreto para los procesos del navegador.
- Haga coincidir exactamente las direcciones de retorno y salida, incluido el protocolo y la ruta.
- Pruebe por separado el registro, la confirmación, el acceso, la recuperación y la salida.
Empiece por el proceso mínimo que funciona antes de añadir campos propios, proveedores externos, grupos o permisos de API.
03 · Experiencia
¿Qué añade Gatey además de un formulario básico de acceso?
Gatey ofrece una experiencia reutilizable para Gutenberg, Elementor y diseños con shortcodes. Incluye acceso, registro, MFA, cambio de contraseña, edición de perfil, atributos de cuenta y 22 idiomas de interfaz integrados, además de traducciones propias.
El plugin también puede mostrar información de la cuenta en los diseños y controlar el frontal según el estado de acceso, los atributos o los grupos. Como el proceso funciona en el navegador, el mismo enfoque continúa tras una exportación estática y permite añadir acceso a WordPress estático sin recuperar las sesiones PHP.
- Use el bloque Authenticator para los recorridos de cuenta.
- Use bloques de atributos de cuenta para contenido adaptado al perfil.
- Use traducciones propias y dirección de escritura en sitios multilingües.
La página de WordPress sigue siendo editable y Cognito mantiene la información de identidad de referencia.
04 · Acceso a API
¿Cómo deben acceder los usuarios autenticados a las API protegidas?
Cognito emite tokens de ID con información de identidad y tokens de acceso para autorización. Utilice el tipo de token que espera el autorizador de la API, valide su firma, emisor, caducidad y uso previsto, y aplique después los ámbitos o permisos necesarios. AWS documenta la función del token de acceso de Cognito. La arquitectura de identidad con Cognito muestra cómo los tokens del navegador llegan a API protegidas sin hacer pasar la sesión de nuevo por WordPress.
Para llamadas directas a AWS desde el navegador, un Identity Pool puede cambiar la sesión autenticada por credenciales temporales de IAM. Deben asumir funciones muy limitadas que solo permitan los métodos de API Gateway o los recursos de AWS necesarios.
- Use autorización JWT en API de aplicación que comprendan tokens de Cognito.
- Use credenciales temporales de IAM solo cuando necesite acceso SigV4.
- Separe las rutas públicas, autenticadas y administrativas.
La autenticación demuestra quién es el usuario; la autorización aún necesita una regla expresa sobre lo que puede hacer.
Regla de seguridad
Nunca coloque un secreto de cliente de Cognito en una integración del navegador.
Un secreto no puede seguir siendo confidencial en JavaScript público ni en una página exportada de forma estática. Use un cliente público sin secreto y proteja las operaciones del backend con tokens, IAM, ámbitos y autorización específica de cada ruta.
Siguiente paso
Construya el proceso de identidad antes de diseñar cada pantalla.
Conozca Gatey y siga la documentación para crear el User Pool, el cliente de aplicación, las rutas y el modelo de autorización que necesita el proyecto.