CheckoutOTP

1. Introdução

O CheckoutOTP adiciona uma camada de verificação por e-mail antes de o cliente chegar ao checkout do WooCommerce. O comprador informa seu e-mail, recebe um código de 6 dígitos e o confirma. Só então pode concluir a compra.

Com ele você pode:

• Bloquear pedidos falsos, spam e bots que usam e-mails inventados.
• Garantir que o e-mail de cobrança é real e pertence a quem compra.
• Reduzir reembolsos, estornos (chargebacks) e fraude.
• Manter uma lista de e-mails limpa para suas campanhas de marketing.

2. Requisitos

• O WooCommerce deve estar ativo. Sem ele, o plugin mostra um aviso e sua lógica não é ativada.
• Um servidor capaz de enviar e-mails (idealmente com um plugin SMTP configurado; ver Solução de problemas).

3. Instalação

1. Baixe o pacote checkoutotp.zip.
2. No WordPress, acesse Plugins → Adicionar novo plugin → Enviar plugin.
3. Selecione o arquivo .zip, clique em Instalar agora e depois em Ativar.
4. Ao ativar, o plugin cria automaticamente suas tabelas e configurações padrão.

4. Configuração inicial

A verificação ocorre numa página do seu site que contém um shortcode. Você só precisa de uma página para isso.

Passo 1 — Criar a página de verificação

1. Vá a Páginas → Adicionar nova.
2. Dê um título a ela, por exemplo Order Verification ou Verificação de pedido.
3. No conteúdo, adicione este shortcode:

[checkoutotp_form]

4. Publique a página.

Passo 2 — Ajustar os valores básicos

Em WooCommerce → CheckoutOTP → Settings, revise no mínimo:

• OTP Expiry Time: minutos de validade do código (padrão 15).
• Admin Notification Recipients: e-mails que receberão os alertas de segurança.
• Notify When User is Blocked e Notify on Multiple Failed Attempts: ative-os se quiser receber avisos.

Passo 3 — Testar

1. Em uma janela anônima, adicione um produto ao carrinho e vá ao checkout.
2. Deve ser redirecionado para a página de verificação.
3. Informe seu e-mail, receba o código e confirme-o.
4. Depois de verificado, volta ao checkout com o e-mail bloqueado e pode concluir a compra.

5. Como funciona

A jornada do cliente

1. O cliente adiciona produtos ao carrinho e tenta entrar no checkout.
2. O plugin o redireciona para a página de verificação ([checkoutotp_form]).
3. Informa seu e-mail e clica em enviar → recebe um código de 6 dígitos por e-mail.
4. Informa o código. Se estiver correto, fica verificado.
5. Volta ao checkout: o e-mail aparece fixado e só de leitura.
6. Conclui a compra.

Quando a verificação é lembrada

Modo de emergência

Se o envio de e-mails falhar, o Modo de emergência desativa temporariamente a verificação para não perder vendas. Use-o apenas como solução pontual e desative-o o quanto antes.

6. O painel do CheckoutOTP

Tudo é gerido em WooCommerce → CheckoutOTP. O painel tem estas abas:

7. Opções de configuração

General OTP Settings

Express Checkout Protection

Oculta os botões de pagamento rápido (PayPal, Google Pay, Apple Pay, Stripe…) aos clientes que ainda não estão verificados, para que não possam pular a verificação.

Security Notifications

REST API Security

Configurable Block Lists

Data Maintenance

Design & Colors

Personalize o aspecto do formulário de verificação:

8. E-mails e personalização

O código OTP é enviado como um e-mail do WooCommerce, por isso aparece em WooCommerce → Configurações → E-mails com o nome CheckoutOTP. A partir daí, você pode alterar o assunto, o cabeçalho e o rodapé, e até desativá-lo.

Modelos de e-mail

O plugin inclui dois modelos:

• templates/emails/checkoutotp-otp.php — versão HTML.
• templates/emails/plain/checkoutotp-otp.php — versão texto simples.

seu-tema/woocommerce/emails/checkoutotp-otp.php

9. Compatibilidade

10. Solução de problemas

Os e-mails com o código não chegam

• O envio depende do wp_mail() do WordPress. Se seu servidor não estiver bem configurado, instale um plugin SMTP (WP Mail SMTP, Post SMTP, etc.) e teste-o.
• Verifique a pasta de spam do destinatário.
• Confirme que o modelo de e-mail CheckoutOTP está ativo em WooCommerce → Configurações → E-mails.
• Como último recurso, ative o Modo de emergência para não bloquear vendas enquanto resolve o e-mail.

O IP registrado não é o do cliente (site atrás do Cloudflare)

Ative a opção 🌐 Site Behind Proxy/CDN. Apenas se seu site estiver realmente atrás do Cloudflare ou de um proxy/CDN.

O cliente continua vendo o checkout sem verificar (cache)

• O plugin envia cabeçalhos «no-cache», mas alguns plugins de cache os ignoram.
• Exclua do seu cache as páginas de checkout e de verificação.

Os botões de pagamento rápido não são ocultados

• Ative o Strict Mode.
• Se mesmo assim aparecerem, adicione o respectivo seletor CSS em Custom CSS Selectors.

Um cliente legítimo ficou bloqueado

Vá à aba 🚫 Blocked Emails e clique em Unblock na linha correspondente. Os bloqueios também expiram sozinhos de acordo com a duração configurada.

A coluna «Verification» mostra «Not verified»

Significa que esse pedido foi criado sem uma verificação registrada (por exemplo, um pedido manual feito pelo administrador, ou criado antes de instalar o plugin). É o comportamento correto.

11. Perguntas frequentes

Funciona com o checkout por blocos?

Sim. A verificação, o bloqueio do e-mail e a validação no servidor funcionam tanto no checkout clássico como no de blocos.

Posso usar cliente convidado (sem conta)?

Sim. Os convidados verificam-se da mesma forma, através de um cookie assinado.

É pedido o código ao cliente em cada compra?

Não. Todos (administradores, clientes existentes, contas recém-registradas) verificam apenas uma vez no seu próximo checkout. Depois, são lembrados (conta: de forma permanente; convidado: cookie de 7 ou 30 dias). Para forçar uma nova verificação, no caso de um convidado basta esperar que o cookie expire; numa conta, seria necessário remover a marca de verificação do usuário (ajuste avançado).

Posso mudar a página de verificação?

Sim, qualquer uma que contenha o shortcode [checkoutotp_form]. O plugin a detecta automaticamente.

O que acontece se tiver duas ou mais páginas com o shortcode?

O plugin redireciona sempre para a mais recente. As outras continuam mostrando o formulário se forem visitadas diretamente, mas não são o destino do redirecionamento. Recomendação: use uma única página ativa com o shortcode e deixe as demais como rascunho ou na lixeira.

O que acontece se um atacante tentar muitos códigos?

Cada código admite um número limitado de tentativas. Além disso, o plugin conta as falhas por e-mail e bloqueia o endereço temporariamente ao ultrapassar o limite configurado.

O plugin deixa a loja mais lenta?

Não. Atua apenas nas páginas de checkout e de verificação e não adiciona consultas pesadas ao resto do site.

12. Histórico de alterações

1.3.0

• O CSS que oculta o Express Checkout agora só é carregado no checkout, carrinho, produto e página de verificação.
• Nova configuração: máximo de envios OTP por hora (limite configurável de pedidos de código).
• Os padrões regex personalizados são validados ao salvar, com um aviso claro; os inválidos são descartados.
• Removidos métodos e tabela legados sem uso (os OTP usam transients).
• Os erros do checkout por blocos agora devolvem um 403 próprio em vez de um 500 genérico.
• Os bloqueios de segurança (discrepância de e-mail, express) também aparecem na aba Histórico.
• O Modo de emergência registra ativação e desativação ao mudar de estado.

1.2.2

• Traduções incluídas: espanhol, português (Brasil) e francês, além do modelo .pot para adicionar mais idiomas.

1.2.1

• Removido código legado não usado (uma classe de e-mail antiga e um verificador antigo).
• Documentação atualizada para o estado real.

1.2.0

• Bloqueio temporário de e-mails por falhas repetidas, com limite e duração configuráveis.
• Aba «Blocked Emails» com desbloqueio manual.
• Avisos ao administrador com o e-mail completo.
• Coluna «Verification» com estado real por pedido (Verified / Not verified).
• Bloqueio do campo de e-mail também no checkout por blocos.

1.1.0

• Correções de segurança (IP real, cookies reforçados, proteção PayPal, cache sem PII).

1.0.0

• Versão inicial: verificação OTP pré-checkout, bloqueio de bots, registros e notificações.

13. Privacidade e dados

O CheckoutOTP armazena seus dados no banco de dados do seu próprio WordPress, então você mantém o controle. Veja o que ele trata:

• Endereço de e-mail informado pelo cliente para receber o código, e os e-mails bloqueados temporariamente após falhas repetidas (aba Blocked Emails).
• Endereço IP, usado nos limites de frequência e nas verificações de segurança.
• Código OTP, armazenado apenas como hash SHA-256 e válido somente pelo tempo de expiração configurado (15 minutos por padrão).
• Status de verificação: em clientes cadastrados fica nos metadados do usuário; em convidados, em um cookie assinado (7 dias, ou 30 se marcarem «lembrar de mim»).
• Registro de segurança (aba Histórico): eventos como envios, verificações, falhas e bloqueios, que podem incluir o e-mail e o IP envolvidos.

Retenção e exclusão

• Com Auto Purge Logs ativado, os registros antigos são apagados automaticamente após o período de retenção (30 dias por padrão, configurável de 7 a 365).
• Os e-mails bloqueados são liberados sozinhos ao fim da duração de bloqueio configurada, ou manualmente na aba Blocked Emails.
• Se você excluir o plugin do WordPress (e não apenas desativá-lo), todos os dados dele são removidos: configurações, tabelas, metadados de usuário, cookies de sessão e tarefas agendadas.

14. Suporte

Se você tiver dúvidas ou problemas, abra um ticket em nossa central de suporte informando a versão do plugin, a versão do WordPress/WooCommerce e uma descrição do problema.

• Central de suporte: innovedia.pro/support
• Autor: Innovedia Pro
• Site: innovedia.pro