CheckoutOTP

1. Introduction

CheckoutOTP ajoute une couche de vérification par e-mail avant que le client n'atteigne le paiement WooCommerce. L'acheteur saisit son e-mail, reçoit un code à 6 chiffres et le confirme. Ce n'est qu'ensuite qu'il peut finaliser l'achat.

Cela vous permet de :

• Bloquer les fausses commandes, le spam et les bots utilisant des e-mails inventés.
• Garantir que l'e-mail de facturation est réel et appartient à l'acheteur.
• Réduire les remboursements, les rétrofacturations (chargebacks) et la fraude.
• Conserver une liste d'e-mails propre pour vos campagnes marketing.

2. Exigences

• WooCommerce doit être actif. Sans lui, le plugin affiche un avis et sa logique n'est pas activée.
• Un serveur capable d'envoyer des e-mails (idéalement avec un plugin SMTP configuré ; voir Dépannage).

3. Installation

1. Téléchargez le paquet checkoutotp.zip.
2. Dans WordPress, allez dans Extensions → Ajouter → Téléverser une extension.
3. Sélectionnez le fichier .zip, cliquez sur Installer maintenant, puis sur Activer.
4. À l'activation, le plugin crée automatiquement ses tables et ses réglages par défaut.

4. Configuration initiale

La vérification se produit sur une page de votre site contenant un shortcode. Une seule page suffit.

Étape 1 — Créer la page de vérification

1. Allez dans Pages → Ajouter.
2. Donnez-lui un titre, par exemple Order Verification ou Vérification de commande.
3. Dans le contenu, ajoutez ce shortcode :

[checkoutotp_form]

4. Publiez la page.

Étape 2 — Régler les valeurs de base

Dans WooCommerce → CheckoutOTP → Settings, vérifiez au minimum :

• OTP Expiry Time : durée de validité du code en minutes (15 par défaut).
• Admin Notification Recipients : e-mails qui recevront les alertes de sécurité.
• Notify When User is Blocked et Notify on Multiple Failed Attempts : activez-les si vous souhaitez recevoir des alertes.

Étape 3 — Tester

1. Dans une fenêtre de navigation privée, ajoutez un produit au panier et allez au paiement.
2. Vous devriez être redirigé vers la page de vérification.
3. Saisissez votre e-mail, recevez le code et confirmez-le.
4. Une fois vérifié, vous revenez au paiement avec l'e-mail verrouillé et pouvez finaliser l'achat.

5. Fonctionnement

Le parcours du client

1. Le client ajoute des produits au panier et tente d'accéder au paiement.
2. Le plugin le redirige vers la page de vérification ([checkoutotp_form]).
3. Il saisit son e-mail et clique sur envoyer → il reçoit un code à 6 chiffres par e-mail.
4. Il saisit le code. S'il est correct, il est vérifié.
5. Il revient au paiement : son e-mail apparaît fixé et en lecture seule.
6. Il finalise l'achat.

Quand la vérification est mémorisée

Mode d'urgence

Si l'envoi d'e-mails échoue, le Mode d'urgence désactive temporairement la vérification pour ne pas perdre de ventes. À n'utiliser que ponctuellement et à désactiver dès que possible.

6. Le panneau CheckoutOTP

Tout se gère depuis WooCommerce → CheckoutOTP. Le panneau comporte ces onglets :

7. Options de configuration

General OTP Settings

Express Checkout Protection

Masque les boutons de paiement express (PayPal, Google Pay, Apple Pay, Stripe…) aux clients qui ne sont pas encore vérifiés, afin qu'ils ne puissent pas contourner la vérification.

Security Notifications

REST API Security

Configurable Block Lists

Data Maintenance

Design & Colors

Personnalisez l'apparence du formulaire de vérification :

8. E-mails et personnalisation

Le code OTP est envoyé comme un e-mail WooCommerce, il apparaît donc dans WooCommerce → Réglages → E-mails sous le nom CheckoutOTP. De là, vous pouvez modifier l'objet, l'en-tête et le pied de page, et même le désactiver.

Modèles d'e-mail

Le plugin inclut deux modèles :

• templates/emails/checkoutotp-otp.php — version HTML.
• templates/emails/plain/checkoutotp-otp.php — version texte brut.

votre-theme/woocommerce/emails/checkoutotp-otp.php

9. Compatibilité

10. Dépannage

Les e-mails contenant le code n'arrivent pas

• L'envoi repose sur wp_mail() de WordPress. Si votre serveur n'est pas correctement configuré, installez un plugin SMTP (WP Mail SMTP, Post SMTP, etc.) et testez-le.
• Vérifiez le dossier spam du destinataire.
• Assurez-vous que le modèle d'e-mail CheckoutOTP est actif dans WooCommerce → Réglages → E-mails.
• En dernier recours, activez le Mode d'urgence pour ne pas bloquer les ventes pendant que vous réglez l'e-mail.

L'IP enregistrée n'est pas celle du client (site derrière Cloudflare)

Activez l'option 🌐 Site Behind Proxy/CDN. Uniquement si votre site est réellement derrière Cloudflare ou un proxy/CDN.

Le client voit toujours le paiement sans vérifier (cache)

• Le plugin envoie des en-têtes « no-cache », mais certains plugins de cache les ignorent.
• Excluez les pages de paiement et de vérification de votre cache.

Les boutons de paiement express ne sont pas masqués

• Activez le Strict Mode.
• S'ils apparaissent toujours, ajoutez leur sélecteur CSS dans Custom CSS Selectors.

Un client légitime a été bloqué

Allez dans l'onglet 🚫 Blocked Emails et cliquez sur Unblock sur sa ligne. Les blocages expirent également d'eux-mêmes selon la durée configurée.

La colonne « Verification » affiche « Not verified »

Cela signifie que cette commande a été créée sans vérification enregistrée (par exemple, une commande manuelle créée par l'administrateur, ou créée avant l'installation du plugin). C'est le comportement correct.

11. FAQ

Fonctionne-t-il avec le paiement par blocs ?

Oui. La vérification, le verrouillage de l'e-mail et la validation côté serveur fonctionnent à la fois sur le paiement classique et par blocs.

Puis-je utiliser un client invité (sans compte) ?

Oui. Les invités se vérifient de la même manière, à l'aide d'un cookie signé.

Le code est-il demandé au client à chaque achat ?

Non. Tout le monde (administrateurs, clients existants, comptes nouvellement créés) ne se vérifie qu'une seule fois lors de son prochain paiement. Ensuite, il est mémorisé (compte : de façon permanente ; invité : cookie de 7 ou 30 jours). Pour forcer une nouvelle vérification, pour un invité il suffit d'attendre l'expiration du cookie ; sur un compte, il faudrait supprimer la marque de vérification de l'utilisateur (avancé).

Puis-je changer la page de vérification ?

Oui, toute page contenant le shortcode [checkoutotp_form]. Le plugin la détecte automatiquement.

Que se passe-t-il si j'ai deux pages ou plus avec le shortcode ?

Le plugin redirige toujours vers la plus récente. Les autres affichent toujours le formulaire si on les visite directement, mais ne sont pas la cible de la redirection. Recommandation : utilisez une seule page active avec le shortcode et laissez les autres en brouillon ou à la corbeille.

Que se passe-t-il si un attaquant essaie de nombreux codes ?

Chaque code autorise un nombre limité de tentatives. De plus, le plugin compte les échecs par e-mail et bloque temporairement l'adresse dès que le seuil configuré est dépassé.

Le plugin ralentit-il la boutique ?

Non. Il n'agit que sur les pages de paiement et de vérification et n'ajoute aucune requête lourde au reste du site.

12. Journal des modifications

1.3.0

• Le CSS masquant Express Checkout n'est désormais chargé que sur le paiement, le panier, le produit et la page de vérification.
• Nouveau réglage : nombre maximal d'envois OTP par heure (limite configurable des demandes de code).
• Les motifs regex personnalisés sont validés à l'enregistrement avec un avertissement clair ; les invalides sont écartés.
• Suppression des méthodes et de la table héritées inutilisées (les OTP utilisent des transients).
• Les erreurs du paiement par blocs renvoient désormais un 403 propre au lieu d'un 500 générique.
• Les blocages de sécurité (discordance d'e-mail, express) figurent aussi dans l'onglet Historique.
• Le mode d'urgence journalise l'activation et la désactivation lors du changement d'état.

1.2.2

• Traductions incluses : espagnol, portugais (Brésil) et français, ainsi que le modèle .pot pour ajouter d'autres langues.

1.2.1

• Suppression du code hérité inutilisé (une ancienne classe d'e-mail et un ancien vérificateur).
• Documentation mise à jour selon l'état réel.

1.2.0

• Blocage temporaire des e-mails après des échecs répétés, avec seuil et durée configurables.
• Onglet « Blocked Emails » avec déblocage manuel.
• Notifications d'administration avec l'adresse e-mail complète.
• Colonne « Verification » avec l'état réel par commande (Verified / Not verified).
• Verrouillage du champ e-mail également sur le paiement par blocs.

1.1.0

• Correctifs de sécurité (IP réelle, cookies renforcés, protection PayPal, cache sans données personnelles).

1.0.0

• Version initiale : vérification OTP avant paiement, blocage des bots, journaux et notifications.

13. Confidentialité et données

CheckoutOTP conserve ses données dans la base de données de votre propre WordPress, vous gardez donc le contrôle. Voici ce qu'il traite :

• Adresse e-mail saisie par le client pour recevoir le code, et les e-mails temporairement bloqués après des échecs répétés (onglet Blocked Emails).
• Adresse IP, utilisée pour les limites de fréquence et les contrôles de sécurité.
• Code OTP, stocké uniquement sous forme de hash SHA-256 et valable seulement pendant la durée d'expiration configurée (15 minutes par défaut).
• Statut de vérification : pour les clients inscrits, il est enregistré dans leurs métadonnées utilisateur ; pour les invités, dans un cookie signé (7 jours, ou 30 s'ils cochent « se souvenir de moi »).
• Journal de sécurité (onglet Historique) : événements tels que envois, vérifications, échecs et blocages, pouvant inclure l'e-mail et l'adresse IP concernés.

Conservation et suppression

• Avec Auto Purge Logs activé, les anciens enregistrements sont supprimés automatiquement après la durée de conservation (30 jours par défaut, configurable de 7 à 365).
• Les e-mails bloqués sont libérés d'eux-mêmes à la fin de la durée de blocage configurée, ou manuellement depuis l'onglet Blocked Emails.
• Si vous supprimez le plugin depuis WordPress (et pas seulement le désactiver), toutes ses données sont effacées : réglages, tables, métadonnées utilisateur, cookies de session et tâches planifiées.

14. Assistance

Si vous avez des questions ou des problèmes, ouvrez un ticket dans notre centre d'assistance en indiquant la version du plugin, la version de WordPress/WooCommerce et une description du problème.

• Centre d'assistance : innovedia.pro/support
• Auteur : Innovedia Pro
• Site web : innovedia.pro