Как изменить регистрацию пользователя WooCommerce с подтверждением по email

Почему нужно подтверждение регистрации по email в WooCommerce

Стандартная регистрация WooCommerce не требует подтверждения email, что увеличивает риск регистрации ботов и спам-аккаунтов. Внедрение подтверждения email повышает безопасность, улучшает качество базы пользователей и снижает нагрузку на поддержку.

Диагностика проблемы: как понять, что регистрация без подтверждения не подходит

Если вы замечаете:

• Множество фейковых аккаунтов;
• Высокий процент регистрации с невалидными email;
• Проблемы с рассылкой, связанные с неправильными email;
• Жалобы от пользователей на невозможность получить письма;

— значит, система без подтверждения не справляется, и стоит внедрить подтверждение по email.

Пошаговое решение: добавляем подтверждение email при регистрации в WooCommerce

1. Отключаем автоматический вход после регистрации

По умолчанию WooCommerce автоматически авторизует пользователя после регистрации. Чтобы требовать подтверждение, нужно отключить этот функционал.

add_filter('woocommerce_registration_auth_new_customer', '__return_false');

2. Добавляем мета-поле для статуса подтверждения

При регистрации присвоим пользователю статус "неподтвержден".

add_action('user_register', function($user_id) {
    update_user_meta($user_id, 'email_confirmed', 0);
});

3. Генерируем и отправляем email с подтверждением

Создадим уникальный ключ подтверждения и отправим письмо с ссылкой.

add_action('user_register', function($user_id) {
    $user = get_userdata($user_id);
    $key = wp_generate_password(20, false);
    update_user_meta($user_id, 'email_confirmation_key', $key);

    $confirm_link = add_query_arg([
        'email_confirm' => $key,
        'user' => $user_id
    ], site_url());

    $subject = 'Подтверждение регистрации на ' . get_bloginfo('name');
    $message = "Здравствуйте, {$user->user_login}!\nДля подтверждения регистрации перейдите по ссылке:\n" . $confirm_link;

    wp_mail($user->user_email, $subject, $message);
});

4. Обработка перехода по ссылке подтверждения

Добавим обработчик запроса, который проверит ключ и активирует аккаунт.

add_action('init', function() {
    if (!empty($_GET['email_confirm']) && !empty($_GET['user'])) {
        $user_id = intval($_GET['user']);
        $key = sanitize_text_field($_GET['email_confirm']);
        $saved_key = get_user_meta($user_id, 'email_confirmation_key', true);

        if ($key === $saved_key) {
            update_user_meta($user_id, 'email_confirmed', 1);
            delete_user_meta($user_id, 'email_confirmation_key');
            wp_redirect(site_url('/registration-confirmed'));
            exit;
        } else {
            wp_die('Неверный или просроченный ключ подтверждения.');
        }
    }
});

5. Блокируем вход для неподтверждённых пользователей

Добавим проверку при аутентификации.

add_filter('authenticate', function($user, $username, $password) {
    if (is_a($user, 'WP_User')) {
        $confirmed = get_user_meta($user->ID, 'email_confirmed', true);
        if (empty($confirmed)) {
            return new WP_Error('email_not_confirmed', __('Подтвердите email, ссылка отправлена на почту при регистрации.'));
        }
    }
    return $user;
}, 30, 3);

Проверка результата после внедрения

• Зарегистрируйтесь как новый пользователь с тестовым email.
• Проверьте, что письмо с подтверждением пришло и ссылка корректна.
• Перейдите по ссылке, убедитесь в успешном подтверждении.
• Попробуйте войти до подтверждения — должно появиться сообщение об ошибке.
• Войдите после подтверждения — вход должен пройти без ошибок.

Частые ошибки и как их исправить

• Письма не отправляются: Проверьте настройку SMTP, используйте плагины типа WP Mail SMTP.
• Ссылка подтверждения ведёт на 404: Убедитесь, что site_url() корректен и нет конфликтов с пермалинками.
• Пользователь не может войти после подтверждения: Проверьте, что мета 'email_confirmed' обновилась в базе данных.
• Ключ подтверждения не совпадает: Возможно, ключ был перезаписан, проверьте логику генерации и сохранения.

Практические советы по безопасности и производительности

• Используйте безопасную генерацию ключей — wp_generate_password(20, false) подходит.
• Храните ключи только до подтверждения, затем удаляйте, чтобы не нагружать базу.
• Ограничьте время жизни ключа (например, 24 часа) — добавьте поле с timestamp и проверяйте при подтверждении.
• Для отправки писем используйте SMTP-серверы с авторизацией, чтобы избежать попадания в спам.
• Кэширование страниц входа и регистрации отключайте, иначе страницы могут не обновляться корректно.

Сравнение вариантов реализации подтверждения email в WooCommerce