Crear una API para inicio de sesión único con un sitio de terceros

Problemas de Cross-site Scripting

No puedes transferir cookies de autenticación de WP entre dominios. Tampoco querrás almacenar contraseñas en texto plano para iniciar sesión en otra instalación de WP de forma programática. Por lo tanto, tendrás que hacer que los usuarios inicien sesión en WordPress y luego accedan a su estado de inicio de sesión a través de un punto final de API desde el sitio de terceros. Esto permite que WordPress maneje toda la autenticación. Es bastante seguro, ya que un usuario tendrá que iniciar sesión físicamente en el lado de WP para que el punto final de API sirva los datos al tercero.

Crear un punto final de API

Consulta este artículo que acabo de escribir aquí: http://coderrr.com/create-an-api-endpoint-in-wordpress/

También puedes ver la demostración del código aquí: https://gist.github.com/2982319

Tendrás que determinar la lógica para las necesidades de tu propia aplicación, pero esto te permitirá crear un punto final donde puedas servir cualquier cosa que desees desde el lado de WordPress.

Como estás usando WordPress como el sitio de autenticación, puedes usar una verificación como is_user_logged_in(). Si el usuario ha iniciado sesión, devuelve un objeto de usuario al tercero con cualquier información que necesiten.

Inicio de sesión desde el sitio de terceros

Desde el sitio de terceros, pueden enlazar a tu página de inicio de sesión para una experiencia fluida usando la variable de consulta redirect_to. Una vez iniciada la sesión, los redirigirá de vuelta al sitio de terceros.

http://sub.yourdomain.com/wp-login.php?redirect_to=http%3A%2F%2Fwww.third-party-domain.com

Inicios de sesión remotos

Si necesitas iniciar sesión de usuarios en WordPress desde un sitio de terceros, puedes usar algunas funciones simples de WP enumeradas en este sitio: http://kuttler.eu/code/log-in-a-wordpress-user-programmatically/

Definitivamente necesitarás usar un secreto compartido y crear hashes basados en tiempo a partir de ese secreto para mantener las cosas seguras. Básicamente, así es como se vería:

El tercero envía una solicitud con una marca de tiempo y un token generado por un secreto compartido:

$shared_secret = 'foobar'; //no envíes esto al punto final de API
$timestamp = time();
$token = md5($shared_secret.$time_stamp);

La instalación de WordPress recibe la solicitud:

$shared_secret = 'foobar';
$timestamp = esc_attr($_GET['timestamp']);

if((time() - $timestamp) > 30) # El umbral es de 30 segundos
    //haz algo aquí - ¡TOKEN expirado!

$token = md5($share_secret.$timestamp);
$token_to_check = esc_attr($_GET);

if($token == $token_to_check)
    //¡autenticado!