Login con Google y código por email en PrestaShop

Pocas cosas frenan tanto una compra como un «contraseña incorrecta» en mitad del checkout. La clienta no recuerda con qué contraseña se registró hace dos años, pide un enlace para restablecerla, cambia de aplicación para mirar el correo… y a veces ya no vuelve. En velasdeolor.es, donde todos los pedidos se hacen con cuenta de cliente, quisimos reducir ese problema con dos opciones nuevas: entrar con Google y entrar con un código que llega por email.

El punto de partida

La plantilla de la tienda trae su propio módulo de acceso con redes sociales. El acceso con Google funcionaba, pero tenía limitaciones: si una red social no facilita el email de la clienta (algo habitual con Facebook) no había forma de pedírselo, y no permitía añadir una entrada sin contraseña para quien no usa redes sociales. Decidimos sustituirlo por un módulo propio.

Una decisión importante: no quitar la contraseña

La moda es eliminar las contraseñas, pero muchas clientas tienen la suya guardada en el navegador y entran con un toque. Quitarla les añadiría un paso. Por eso la contraseña sigue siendo la forma principal de entrar, y Google y el código por email son opciones adicionales para quien las prefiera o no recuerde su contraseña.

Entrar con Google, bien hecho

El botón de Google aparece en la página de acceso, en el registro y en el paso de identificación del checkout. Por debajo usa el estándar OpenID Connect con las protecciones recomendadas (PKCE, state y nonce) y valida la respuesta de Google punto por punto: emisor, destinatario, caducidad e identificador de la cuenta.

La parte delicada es qué hacer cuando ya existe una cuenta con ese email. Unirlas sin más sería un riesgo si el email no está verificado de verdad. Por eso:

Si el email es de Gmail o de un dominio gestionado con Google Workspace, Google garantiza que pertenece a quien inicia sesión y la cuenta se vincula directamente.
En cualquier otro caso, se pide confirmar el email con un código antes de vincular nada.

Algunos detalles más:

Las cuentas nuevas se crean sin aceptar publicidad ni newsletter: la tienda no envía emails promocionales y no tiene sentido pedir ese permiso.
El botón de Google no se muestra en los navegadores internos de aplicaciones como Instagram o Facebook, donde Google bloquea el inicio de sesión y la clienta solo vería un error.
En «Mi cuenta», cada clienta puede ver y desvincular su cuenta de Google.

Entrar con un código por email

La segunda opción no depende de ninguna red social: la clienta escribe su email, recibe un código de 6 cifras y entra con él. Es como el «olvidé mi contraseña», pero sin tener que inventar una nueva. Para que no se pueda abusar:

El código caduca a los 10 minutos y admite como mucho 5 intentos.
Hay límites de códigos por email y por conexión, para que nadie pueda llenar el buzón de otra persona ni probar códigos sin parar.
Los códigos y los emails asociados se guardan solo como huella (HMAC), nunca en claro, y se borran a los dos días.

Privacidad y RGPD

Los registros del módulo solo guardan recuentos (cuántas entradas con Google, con código o con contraseña), sin datos personales. Sirven para decidir más adelante si merece la pena añadir otras redes.
El módulo se integra con el módulo oficial de RGPD de PrestaShop: cuando una clienta pide sus datos o el borrado de su cuenta, también se incluyen o se eliminan sus vínculos con Google.

Pruebas antes de abrirlo a las clientas

Un sistema de acceso no admite errores, así que lo probamos a fondo:

Pruebas automáticas de todas las piezas: validación de la respuesta de Google, códigos, límites, vinculación de cuentas…
Pruebas de extremo a extremo en una instalación local de PrestaShop, con un «Google falso» que permite simular respuestas correctas, caducadas o manipuladas.
Modo de prueba en la tienda real, visible solo para el dueño de la tienda, que entró con su cuenta de Google y con el código por email antes de activarlo. Es el mismo método que usamos con el buscador y la asistente con IA.

Al activarlo para todas las clientas, el módulo desactiva automáticamente el de la plantilla para que no haya dos botones de Google.

¿Y Facebook?

Está preparado en el diseño: si Facebook no facilita el email de la clienta, el módulo se lo pide y lo confirma con un código. Sin embargo, Meta exige pasar una revisión de la aplicación antes de usarlo en producción, así que de momento está en pausa.

Apartado técnico (para desarrolladores)

El módulo crea las cuentas e inicia sesión con los mismos procesos que el formulario de PrestaShop, de modo que se ejecutan los mismos hooks y el resto de módulos se comportan igual que con un acceso normal.
El estado del proceso de acceso se guarda en la cookie cifrada de PrestaShop, con protección CSRF propia.
Las direcciones de vuelta tras iniciar sesión solo pueden ser páginas de la propia tienda, para evitar redirecciones abiertas.
Nada de esto toca los archivos de la plantilla: los botones se pintan con hooks y heredan los estilos del tema.

Conclusión

Facilitar el acceso es una de esas mejoras invisibles que se notan en las ventas: menos contraseñas olvidadas, menos abandonos en el checkout y menos correos de «no puedo entrar». La clave está en ofrecer opciones sin quitar las que ya funcionan, y en hacerlo con la seguridad y la privacidad bien resueltas.

Si quieres revisar el registro y el checkout de tu tienda PrestaShop, tenemos una checklist de seguridad para tiendas PrestaShop y puedes contactar con nosotros para ver qué mejoras encajan en tu caso.

Más casos reales de velasdeolor.es

Este artículo forma parte de una serie sobre las mejoras que hemos hecho en la tienda en octubre de 2026: