0

CONTEXTO. Wordpress 6.5.

Requiero capturar la contraseña de un nuevo usuario, con el objetivo posterior de aceptar solo contraseñas fuertes e impedir el registro con contraseñas débiles

De momento, mi objetivo inmediato es muy simple: encontrar una función (o hook) que recupere la contraseña en texto plano del usuario que se está registrando mediante wp-admin/user-new.php. De momento NO quiero hacer nada con esta contraseña, sólo recuperarla en texto plano antes que se guarde el registro en base de datos, y al hacerlo, quiero detener el script.

QUÉ HE INTENTADO. He probado con los siguientes 12 códigos. Los códigos del 1 al 10 no funcionan, ya que el usuario se crea correctamente y sin interrupción. El código 11 sí recupera el password en texto plano pero después de crear al usuario. Y el código 12 también funciona y muestra la contraseña dentro de $data['user_pass'], y lo hace antes de crear el usuario; el problema es que muestra la contraseña hasheada, no en texto plano.

// Código 1
add_filter('pre_user_created_data', 'validar_usuario_antes_de_crear', 10, 1);
function validar_usuario_antes_de_crear($data) {
    var_dump($data);
    wp_die( 'Alto' );
    return false;
}

// Código 2
add_filter('registration_errors', 'validar_password1', 10, 3);
function validar_password1($errors, $sanitized_user_login, $user_email) {
    print_r($errors);
    print_r($sanitized_user_login);
    print_r($user_email);
    $password = $_POST['pass1'];
    var_dump($password);
    wp_die( 'Alto' );
    return false;
}

// Código 3
add_filter('pre_user_pass', 'validar_password', 10, 1);
function validar_password($password) {
    var_dump($password);
    wp_die( 'Alto' );
    return false;
}

// Código 4
add_filter('pre_user_password', 'validar_password', 10, 1);
function validar_password($username) {
    var_dump($username);
    wp_die( 'Alto' );
    return false;
}

// Código 5
add_action('register_form', 'validar_password_registro');
function validar_password_registro() {
    $password = $_POST['pass1'];
    var_dump($password);
    wp_die( 'Alto 1' );
    return false;
}

// Código 6
add_filter('wp_insert_user_data', 'validar_password_registro', 10, 3);
function validar_password_registro($data, $update, $user_id) {
    $password = $_POST['pass1'];
    var_dump($data);
    wp_die( 'Alto' );
    return false;
}

// Código 7
add_filter('wp_authenticate_user', 'validar_password_registro', 10, 2);
function validar_password_registro($user, $password) {
    var_dump($password);
    wp_die( 'Alto' );
    return false;
}

// Código 8
add_filter('user_registration_email', 'validar_password_registro', 10, 3);
function validar_password_registro($user_email, $user_login, $password) {
    var_dump($password);
    wp_die('Alto');
    return $user_email;
}

// Código 9
add_filter('wp_handle_comment_submission', 'validar_password_registro', 10, 3);
function validar_password_registro($comment_data) {
    var_dump($comment_data);
    wp_die('Alto');
    return $comment_data;
}

// Código 10
add_action( 'register_post', 'get_user_password', 10, 1 );
function get_user_password( $user_id ) {
  $password = $_POST['password'];
  wp_die( 'Alto' );
}

// Código 11
add_action('user_register', 'validar_usuario_antes_de_crear', 10, 1);
function validar_usuario_antes_de_crear($user_id) {
    $password = $_POST['pass1'];
    print_r($password);
    wp_die( 'Alto' );
    return false;
}

// Código 12
add_filter( 'wp_pre_insert_user_data', function ($data, $update) {
    var_dump($data);
    wp_die( 'Alto' );
    return false;
}, 99, 2);

De antemano, muchas gracias.


Solución:

Casi (por un pelo de rana calva) lograron persuadirme de que era difícil, o cuasi imposible, lograr obtener la contraseña en texto plano antes que se guarde el registro. Pero justo ahora acabo de encontrar que en la última versión WP (6.5 al día de hoy) el param $user contiene la contraseña plana ($user->user_pass):

function my_password_requirements($errors, $update, $user) {
    //...
}
add_filter('user_profile_update_errors', 'my_password_requirements', 10, 3);

Acabo de modificar rápido esto para que no quede ni la más mínima duda de que funciona, y lo hace, ¡funciona!:

function my_password_requirements($errors, $update, $user) {
    if ( strlen( $user->user_pass ) < 12 ) {
        $errors->add( 'password', __('La contraseña debe tener al menos 12 caracteres.') );
    }
    if ( preg_match_all('/[a-z]/', $user->user_pass) < 2 ) {
        $errors->add( 'password', __('La contraseña debe contener al menos 2 letras minúsculas.') );
    }
    if ( preg_match_all('/[A-Z]/', $user->user_pass) < 2 ) {
        $errors->add( 'password', __('La contraseña debe contener al menos 2 letras mayúsculas.') );
    }
    if ( preg_match_all('/[0-9]/', $user->user_pass) < 2 ) {
        $errors->add( 'password', __('La contraseña debe contener al menos 2 números.') );
    }
    if ( preg_match_all('/[!@#$%^&*(),.?":{}|<>]/', $user->user_pass) < 2 ) {
        $errors->add( 'password', __('La contraseña debe contener al menos 2 caracteres especiales.') );
    }
    return $errors;
}
add_filter('user_profile_update_errors', 'my_password_requirements', 10, 3);
12
  • Es una terrible idea guardar una contraseña directamente. Las contraseñas quedarían expuestas en un ataque a la base de datos. Por seguridad, es probable que no puedas recuperar la contraseña de ninguna manera.
    – Mateo
    Commented el 6 abr. a las 5:02
  • Por cierto, hay un subsitio de WordPress y aquí hay una pregunta similar wordpress.stackexchange.com/a/379620
    – Mateo
    Commented el 6 abr. a las 5:10
  • Teóricamente es posible, solo debes acceder al password antes de que se guarde en la db y se hashee, pero no entiendo porque lo quieres hacer, no solo es un problema de seguridad si no que incluso es considerado delito en muchos países. Commented el 6 abr. a las 6:11
  • 1
    Tu pregunta, nada más por todo lo que contiene, merece ser cerrada. Has hecho una serie de ediciones que no encajan con el formato del sitio, convirtiendo la pregunta en una especie de monólogo en un chat donde respondes a varios interlocutores o planteamientos propios de Meta. Debes centrarte en el problema, aportando el código problemático y punto. Si alguien pregunta algo, respóndele en comentarios o aportando en la pregunta aquello que se te pide, si el caso lo amerita. Dicho eso, no es una tragedia que te cierren una pregunta, nos ha pasado a todos.
    – A. Cedano
    Commented el 8 abr. a las 18:00
  • 1
    A pesar de que la pregunta está cerrada y tiene votos negativos, hay en ella comentarios y una respuesta muy valiosos, de gente con experiencia. O sea, no todo es malo. Haz caso de lo que ellos te dicen. Si lo que quieres es atrapar una contraseña antes de que se hashee, como ya te dijeron algunos, estás en la frontera de cometer un delito y esto no es bueno. En cuanto a obligar a los usuarios a escribir contraseñas fuertes, puedes poner unas restricciones al momento del registro, como, no menos de N carácteres, obligatorio un símbolo raro, etc. De hecho, muchos sitios lo hacen.
    – A. Cedano
    Commented el 8 abr. a las 18:05

1 respuesta 1

1

Voy a responderte aunque pueda que esta pregunta termine cerrada.

De poderse se puede, el problema es que como ya te dijeron, eso raya la ilegalidad, y lo que tu quieres hacer es violar la privacidad de un usuario, porque una cosa es ver el Hash #"%$s5646weqd236ddfsd y otra es ver la palabra secreta (password) del usuario ejemplo lolita antes de convertirse en un Hash.

Te digo unas consideraciones.

La primera es que "nadie va a usar tu Plugin Jamás" porque es un delito (obvio que delincuentes si). Y te lo explico, lo que tu pretendes hacer no es un plugin, es un un "virus tipo MitM Man-in-the-Middle", o de otra manera, una Backdoor. Porque lo que pretendes es "pescar" la palabra secreta del usuario antes que se Hashee, y dime, a mi como administrador o dueño de una web, de que me sirve saber esa palabra? Si el usuario pierde su contraseña o la olvida, hay un proceso simple para recuperar la cuenta, o yo mismo como admin, le pongo 12345 y le digo que cambie el pass en el próximo inicio de sesión (casos de usuarios sin nada de experiencia).

Y si el "plugin" lo que hará es guardar o descargarle al usuario esa palabra, que implica que antes de hacerlo no la guarde en la web? y entonces el usuario no será dueño de su privacidad, otra cosa, si yo uso pajarito en mi pass, es algo que yo ya manejo y conozco, si se me olvida entonces recupero la clave y pongo pepito, pero son procesos privados míos, no necesito que nadie guarde mi palabra secreta por mi, entiendes?

Yo tengo experiencia en Backdoors, yo que tu, olvidaría esta idea o la encaminaría a otro lado (positivo), porque cuando la curiosidad te gane, podrás llegar hacer cosas grandes, terribles pero grandes y eso no te llevará a nada bueno.

PD: Para tu misión, no creo que encentres en la web un Snippet para pescar ese dato, lo que te tocará es tocar el core de WP, ver como funciona y ver como inyectas tu código para obtener lo que quieres.


EDICIÓN #1

Voy a responder a tu edición.

@Bakeryley yo manejo WP desde hace ratos y los pass que genera son fuertes, combinaciones como esta que acabo de generar de prueba wIZcRcLt%uws!!YmL1GtdQFX está catalogada como una contraseña fuerte. El problema no es en si los sistemas, son los usuarios.

Y para muestra un botón, tu pregunta desde el inició venia mal redactada, yo siempre digo: "Hasta para preguntar hay que saberlo hacer". No explicaste nada de contexto, te aseguro que si dices que tu misión era "Obligar al usuario a usar Contraseñas Seguras" te habríamos (por lo menos) aconsejado un plugin para eso (cosa que ya te pusieron un plugin en los comentarios de tu pregunta) o algún Snippet de Código.

Pero siguiendo con eso que la culpa es del usuario, de nada sirve sugerir Passwords fuertes si la gente quiere usar 123456789 como contraseña. Lo que sucede cuando obligas a un usuario a usar Pass seguros es que los pones medio reacios a usar tu plataforma o de una no la usan. Porque nadie se va a aprender una contraseña del tipo wIZcRcLt%uws!!YmL1GtdQFX y no todos pueden gestionar los passwords.

Acá el ejemplo en imagen del Secure Pass que generé de prueba en WP para un usuario común.

SecurePass


EDICIÓN #2

Con lo del cierre de la pregunta no me meto, yo sabía que la iban a cerrar puesto que algunos usuarios dicen que SOes no es para temas de Wordpress, por eso mismo ya he tenido líos y prefiero no decir nada. Más que sé que me tienen en la mira 🙃

Con lo de las contraseñas débiles es algo que difícilmente puedes obligar, máxime en Wordpress. Para eso existen Plugins como ya te dijeron, porque hacerlo con un Snippet lo veo bastante trabajoso.

Por último, creo que usar wordpress para gestión interna de una empresa no es lo más optimo, Wordpress se hizo para Blogs, Noticias y esas cosas, luego mutó para e-commerce pero vamos que no es lo mejor para la parte interna de una empresa.

En fin, creo que este tema post (aunque cerrado) tiene bastante información para futuras referencias. Lamento si dije algo que te haya ofendido, solo quise aclararte unos puntos que (aunque a ti no te sirvan) son muy importantes en la administración de WP.

Si en futuro logras hacer tu cometido no dudes en compartirlo. Suerte.

8
  • El problema fue la mala redacción del OP, si revisas mi perfil puedes ver que me enfoco en wordpress mayormente y creo que he aportado mi granito de arena con respuestas sobre wordpress, pero el OP pide algo que a primera instancia no suena muy legal, si hubiese dicho que quería poner alguna regla que obligue al usuario a tener una contraseña fuerte lo hubiesen ayudado sin problemas, pero a primera instancia su pregunta no suena muy legal que digamos, yo solo le indique como hacerlo, una ves sabes los pasos solo es investigar los hooks, sin una idea clara, como se supone que debemos ayudarle. Commented el 8 abr. a las 17:32
  • Mucho de ello se podria haber evitado si hubiese leido bien Cómo preguntar donde se explica que lo mas importante es exponer la duda y lo que se quiere hacer, cosa que el OP deja de forma muy vaga, ultimamente hay muchas preguntas de quiero hacer esto y esto otro con poco o nada de investigación o que quieren solucionar problemas con elementor cuando son errores del usuario y que requieren investigación porque suelen ser problemas de diseño, por eso lastimosamente wordpress es muy mal visto dentro de la comunidad de programadores Commented el 8 abr. a las 17:34
  • @JefferzonBol vea lo positivo, creo que se ha hablado sobre como preguntar bien desde el principio. De leer Cómo preguntar. Sobre seguridad y Plugins en Wordpress. Sobre temas legales y demás. Es una pena que preguntas de Wordpress como esta tengan que ser cerradas casi que en su totalidad solo porque existe un sitio dedicado para ello, pero en inglés. Creo que esto podrá ayudar en futuro a muchos, por lo menos como referencia legal, ojala no eliminen la pregunta.
    – OCHOA
    Commented el 8 abr. a las 17:40
  • No creo que sea porque existe un Exchange solo para WP, si no la mala calidad de las preguntas, basta con que revises el tag de WordPress para ver que la mayoría son de quiero hacer esto y solo dan una explicación vaga que indica que no se ha investigado, son preguntas que terminan cerradas o simplemente no reciben respuestas porque no incitan a responder y cuando se le indica al OP que debe mejorarla queda la pregunta abandonada. Commented el 8 abr. a las 17:51
  • Una pena porque si hay preguntas interesantes pero que no se desarrollan bien, me hubiese encantado responder esta pregunta pero con lo vago de la descripción no incita a responderla. Commented el 8 abr. a las 17:55

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.