Módulo más que un social login

29/09/2026
v1.0.0

Primeira versão.

• Acesso e registro com o Google por meio do fluxo de código de autorização, com state e nonce de random_bytes() e PKCE S256 .
• Google One Tap com FedCM ( data-use_fedcm_for_prompt ), por meio data-callback e não por data-login_uri : o token chega ao nosso JavaScript e é enviado pelo armazenamento, juntamente com o nonce que gerou essa mesma página.
• Verificação completa do token de identidade : algoritmo RS256 obrigatório, assinatura contra o JWKS do Google com cache e tentativa de rotação de chave, iss , aud , exp , iat e nonce .
• Verificação TLS sem a possibilidade de desativá-la em todas as chamadas de saída, utilizando o pacote de autorização próprio do PrestaShop e sem seguir redirecionamentos.
• Tabela de links com chave única (fornecedor, identificador, loja) .
• Um cliente desativado ou excluído não pode fazer login nem ser reativado .
• O endereço de e-mail precisa ser verificado pelo provedor. Sem essa verificação, ele não será vinculado a nenhuma conta, em hipótese alguma.
• Quem se cadastrou usando o formulário padrão pode fazer login com o Google sem etapas adicionais , e os dois métodos de acesso estão vinculados: é o que a Decathlon e a Zalando fazem. Isso é possível porque o e-mail é verificado — qualquer pessoa que comprove ao Google que é dona daquele endereço de e-mail já poderia fazer login com a opção "esqueci minha senha", então pedir a senha novamente cria uma barreira, não uma segurança adicional. Os lojistas que preferirem essa barreira podem configurá-la nas configurações.
• Na primeira vez que isso acontece, a tela "suas contas já estão vinculadas" aparece , para que o cliente não perca a oportunidade de saber se possui uma ou duas contas.
• Botões de largura total com o aviso legal abaixo , direcionando para os termos e condições e a política de privacidade da loja. A frase completa está traduzida, com os dois links em branco, para que cada idioma possa posicioná-los onde for mais apropriado.
• Tela de confirmação com consentimento genuíno antes da criação de uma conta, com um link para a política de privacidade e uma caixa de seleção opcional para a newsletter. Ela aparece desativada : o aviso legal já está ao lado dos botões, que é onde ele é lido.
• Exibição das contas vinculadas na área do cliente, com desvinculação via POST e testemunha.
• Implementações de mecanismos de conformidade com o RGPD: exportação e eliminação de links.
• Limite de tentativas por IP em endpoints públicos, com o IP salvo resumido.
• O endereço de remetente passa por um processo de higienização que só devolve endereços da própria loja.
• URI de retorno definida para o idioma padrão : um único idioma para registro no Google. O idioma do visitante está incluído na tentativa.
• Espanhol e inglês.