HIKO Social Login Plus

Aggiunge al tuo negozio online l'accesso social e senza password. I clienti possono accedere con provider come Google, LINE, Facebook e Apple, con un codice monouso inviato via e-mail o WhatsApp, oppure con una passkey — nessuna password da ricordare. Ogni accesso corrisponde a un account cliente Shopify.

L'app è pensata per i negozi Shopify Plus che usano i nuovi account cliente. Se il tuo negozio è su un altro piano, o usa ancora gli account cliente classici (legacy), la configurazione è bloccata e un avviso spiega che cosa va cambiato. Se hai appena fatto l'upgrade o la migrazione, riapri l'app per far ripartire il controllo.

Serve un abbonamento a pagamento. Piani e prezzi compaiono sulla pagina di abbonamento di Shopify, ed è Shopify a fatturarli sulla tua fattura Shopify — noi non ti addebitiamo nulla separatamente. Finché non sottoscrivi, aprire l'app ti porta direttamente a quella pagina di abbonamento; tutte le pagine di impostazioni si sbloccano quando l'abbonamento è attivo.

I negozi di sviluppo (comprese le sandbox Plus) non hanno bisogno di abbonamento e dispongono di tutte le funzioni, così puoi prima costruire e testare.

La schermata di installazione richiede tre permessi, ciascuno legato a una funzione concreta:

• read_customers — trovare un cliente esistente tramite e-mail, così che un accesso social si colleghi al suo account invece di crearne un duplicato.
• write_customers — sincronizzare il consenso marketing spuntato in fase di accesso con il consenso marketing Shopify di quella persona, e scrivere i tag e il metacampo dell'identità social.
• read_locales — leggere la lingua principale del negozio per inviare le e-mail nella lingua giusta.

Per Shopify i dati dei clienti sono dati cliente protetti, quindi questi permessi richiedono un'approvazione aggiuntiva. Senza di essi non funzionano né la sincronizzazione del consenso marketing né l'abbinamento ai clienti esistenti.

• Dashboard — la guida alla configurazione, un riepilogo dell'attività di accesso e l'andamento degli ultimi 7 giorni. Clicca il nome dell'app nella barra laterale per tornare qui.
• Analisi clienti — i tuoi clienti, i singoli accessi, gli andamenti e le ripartizioni di attività.
• Provider di identità — qui si trova quasi ogni impostazione di accesso: il provider personalizzato (il collegamento agli account cliente), social media, stili personalizzati, accesso via e-mail, Marketing opt-in, piattaforme di marketing e identità di accesso social.
• Widget del negozio — come appare l'accesso sul tuo negozio online e dove vanno i clienti dopo.
• Integrations — Shopify Admin API, webhook in uscita, accesso headless e mobile.
• Traduzioni — i testi del widget e della pagina di verifica (OTP), per lingua.

È l'unico passaggio di configurazione obbligatorio. L'app stessa è un provider di identità con cui Shopify dialoga:

1. Apri la pagina Provider di identità (o la guida alla configurazione nella dashboard) e trova la sezione Provider personalizzato.
2. Clicca Crea provider personalizzato per aprire l'admin Shopify → Impostazioni → Account cliente e aggiungere un provider di identità di terze parti. Scegli "Custom or other" e assegnagli un nome.
3. Copia Discovery URL, Client ID e Client secret mostrati nell'app nei campi corrispondenti, e imposta il nome del parametro URI di reindirizzamento dopo la disconnessione sul valore indicato (post-sign-out). Non saltare questo campo — senza, la disconnessione resta incompleta.
4. Salva, poi attiva il provider.
5. Torna nell'app e clicca Verifica configurazione. Interroga il tuo negozio reale e ti dice se il collegamento funziona, se il Client ID è obsoleto o se il negozio punta ancora altrove.

1. Apri la sezione Social media della pagina Provider di identità.
2. Espandi il provider desiderato (per esempio Google) e clicca Come ottenere Client ID e secret per le istruzioni passo passo.
3. Crea un'app OAuth nella console di quel provider, copia Client ID e Client secret, incollali e attiva il provider.
4. Clicca Salva.

Ogni guida rimanda direttamente alla console giusta ed elenca i passaggi esatti. Puoi anche riordinare i provider trascinandoli in quella lista — l'anteprima accanto si aggiorna subito.

16 provider social: Google, Facebook, Apple, LINE, Kakao, X (Twitter), TikTok, Amazon, Twitch, Microsoft, Yahoo, LinkedIn, Discord, Spotify, GitHub e Yandex. In più l'accesso con codice monouso via e-mail, con passkey e via WhatsApp. Scegli tu quali compaiono nel widget e in che ordine.

Sì. Puoi usare Client ID e secret OAuth tuoi per ogni provider — nessun vincolo, e la schermata di consenso mostra il tuo brand. Alcuni provider hanno opzioni aggiuntive: dettagli della chiave Apple, regione Amazon, prompt di aggiunta amico LINE, canale e scope Kakao e un selettore dello stile dell'icona Google.

Sì, e i negozi di sviluppo non hanno bisogno di abbonamento. Due cose da sapere:

• Con un negozio protetto da password, "Verifica configurazione" non arriva a una conclusione. Deve raggiungere il negozio reale per capire se l'accesso passa da questa app; bloccata dalla password, riporta che non ha potuto verificare — il che non significa che la configurazione sia sbagliata.
• L'app OAuth di un provider di solito richiede di registrare anche il dominio del negozio di test. Verifica che la callback URL sia registrata sia per il negozio live sia per quello di test.

Sì. I clienti ricevono un codice monouso su WhatsApp. Puoi iniziare con il nostro numero condiviso (10 codici per cliente al giorno, 2000 per negozio al giorno, a nostro carico) oppure collegare il tuo numero WhatsApp Business dalla pagina Provider di identità per gestire invio, modello di messaggio, tipo di pulsante del modello, limiti per negozio e fatturazione.

L'accesso via e-mail consente di entrare con un codice ricevuto per e-mail — senza password. A verifica avvenuta, l'app propone di creare una passkey (Face ID, impronta o PIN del dispositivo): la passkey è un potenziamento successivo al codice monouso, non una via d'accesso separata. Entrambi si attivano singolarmente nella sezione Accesso via e-mail della pagina Provider di identità (o nella guida della dashboard).

Sì, nella sezione Accesso via e-mail della pagina Provider di identità:

• SMTP personalizzato — invia i codici monouso dal tuo server di posta (Outlook / Office 365 compresi) così che l'e-mail arrivi da te e non da noi. Una volta compilato, usa Invia e-mail di prova per confermare che le impostazioni funzionino.
• E-mail OTP personalizzata — modifica oggetto e corpo HTML per lingua, con modalità visuale e HTML, anteprima dal vivo e segnaposto come {code}, {shop} e {minutes}. Le lingue personalizzate sono contrassegnate come "Personalizzata" e possono essere riportate ai valori predefiniti in qualsiasi momento.

Sì. Nella stessa sezione Accesso via e-mail, Pagina OTP personalizzata ti permette di riscrivere l'intero HTML della pagina di verifica per lingua — titolo, campo del codice, link di reinvio, tutto. Sono disponibili le stesse modalità visuale e HTML. Se al tuo HTML manca qualcosa di cui l'accesso ha davvero bisogno, il salvataggio viene rifiutato e ti viene detto cosa manca; la pagina online resta intatta.

C'è anche un interruttore Ospita la pagina OTP sul tuo negozio. Attivandolo, i clienti inseriscono il codice sul tuo dominio, dentro il tuo tema, anziché sul nostro. È disattivato per impostazione predefinita e richiede un tema del negozio online con l'app installata.

One Tap mostra il prompt di accesso in un clic di Google ai clienti non ancora autenticati. È disattivato per impostazione predefinita — una volta configurato Google, attivalo dalla dashboard o dalla riga Google nella pagina Provider di identità.

Usano il widget di accesso presente sul tuo negozio online. Scelgono un provider social, oppure inseriscono un'e-mail (o un numero WhatsApp) per ricevere un codice monouso. A verifica completata sono dentro il tuo negozio — e possono attivare una passkey per rientrare al volo la volta successiva. Il widget contrassegna anche l'ultimo metodo usato con successo con un badge "Ultimo usato", così chi torna lo individua subito.

Vede comunque i metodi di accesso che hai configurato. Poiché questa app è registrata come provider di identità negli account cliente, ogni percorso che porta all'accesso — checkout, un link all'account, l'URL digitato — viene passato da Shopify a questa app.

L'app prova allora, nell'ordine: completare l'accesso in silenzio con una sessione "resta connesso" ancora valida; se non è possibile, mostra una pagina di accesso ospitata da noi che monta esattamente lo stesso widget del tuo negozio — stessi provider, stessi stili e testi. Per questo percorso non devi configurare nulla di aggiuntivo.

Shopify richiede tassativamente un indirizzo e-mail verificato a ogni accesso, altrimenti lo blocca. Provider come X (Twitter) e TikTok non sempre ne restituiscono uno.

In quel caso l'app inserisce un passaggio in più dopo l'autorizzazione del provider: il cliente inserisce un indirizzo e-mail e lo verifica con un codice monouso, e solo allora viene creato l'accesso Shopify. La stessa persona non se lo vedrà richiedere di nuovo alla prossima volta con quel provider — ricordiamo l'abbinamento. È per questo che con questi pochi provider l'accesso ha un passaggio in più rispetto a Google.

No, se l'indirizzo e-mail è lo stesso. I clienti sono identificati dall'indirizzo e-mail verificato, quindi chi usa prima Google e poi Facebook resta un solo cliente finché entrambi portano la stessa e-mail — gli accessi si sommano e nelle analisi clienti compare una sola riga.

Indirizzi diversi producono due clienti, ed è voluto: non possiamo dimostrare che si tratti della stessa persona. Per unirli, fai accedere il cliente e collegare gli account da Metodi di accesso collegati nella sua pagina account, con Consenti il collegamento di account con e-mail diversa attivo nella pagina Widget del negozio.

Viene collegato al cliente esistente — nessun duplicato. L'abbinamento avviene sull'e-mail: se l'e-mail verificata dell'account social corrisponde a un cliente già presente nel negozio, quell'accesso lo autentica come quel cliente, con storico ordini e indirizzi intatti.

Sì. Aggiungi il blocco pagina account dalla pagina Widget del negozio: i clienti autenticati vedranno i metodi di accesso collegati nella pagina profilo del loro account cliente, dove possono scollegarne uno o collegarne uno nuovo.

Nella stessa sezione c'è l'interruttore Consenti il collegamento di account con e-mail diversa (disattivato per impostazione predefinita). Attivandolo, un cliente può collegare un account social la cui e-mail verificata differisce da quella dell'account, e accedendo con esso finirà su quello stesso account. Sovrascrive l'e-mail del provider: attivalo solo se ti fidi che i clienti colleghino soltanto account effettivamente loro.

Quattro modi, tutti configurabili nella pagina Widget del negozio:

• Popup sull'icona account — clicca Attiva nel tema per aprire le incorporazioni app dell'editor del tema, attiva Sign-in widget e salva. Da quel momento un clic sull'icona account nell'header apre il popup di accesso. Se il tuo tema è particolare, aggiungi un selettore CSS personalizzato nella sezione Controllo account, oppure scegli di usare solo il tuo selettore saltando il rilevamento automatico.
• Pagina di accesso — dal tema collega /apps/signin (per esempio da una voce del menu header) per aprire la pagina di accesso ospitata completa.
• Blocco scheda di accesso — dalla scheda App dell'editor del tema, aggiungi il blocco app Sign-in in linea in qualsiasi sezione.
• Metodi di accesso collegati — aggiungi il blocco pagina account così i clienti autenticati possono vedere e scollegare i loro metodi di accesso social dalla pagina profilo.

Per impostazione predefinita resta il link del tuo tema. Se hai una tua area clienti, imposta il link alla pagina account quando autenticato nella pagina Widget del negozio (un percorso del tuo negozio, per esempio /a/accounts): i clienti autenticati che cliccano l'icona account nell'header andranno lì.

Sì, nella pagina Widget del negozio. Imposta il reindirizzamento dopo l'accesso — di nuovo alla pagina da cui hanno effettuato l'accesso, alla pagina visitata prima, o a un percorso specifico (nota: Google One Tap lascia sempre il cliente sulla pagina in cui si trovava, qualunque sia questa impostazione). Resta connesso (sessione SSO) mantiene autenticati i clienti di ritorno per il periodo che scegli (1–90 giorni, 30 di default), evitando la riautenticazione a ogni visita; puoi anche scegliere di non toccare affatto la durata di sessione nativa di Shopify.

Sì, nella sezione Stili personalizzati della pagina Provider di identità: tema, forma dei pulsanti, dimensione, layout (icona / etichetta / icona + etichetta / etichetta con icona a destra), dimensione icona e separatore — più le sostituzioni avanzate per colore di sfondo e bordo, spessore del bordo, altezza dei pulsanti, dimensione di icone ed etichette, e peso e colore delle etichette.

Per un controllo più fine attiva il CSS personalizzato: l'app genera dalle tue impostazioni attuali un template CSS completo e commentato come punto di partenza (classi come .hs-btn e .hs-lbl) da modificare, e puoi rigenerarlo dalle impostazioni in qualsiasi momento. Sfondo, bordo e altezza dei pulsanti impostali nei campi sopra anziché via CSS. Ogni modifica si riflette dal vivo nell'anteprima accanto.

Sì. Espandi un provider qualsiasi nella pagina Provider di identità e troverai il campo Testo del pulsante, impostabile per lingua — il pulsante Google può quindi recitare diversamente in italiano e in giapponese. Lascialo vuoto per usare la traduzione integrata.

Sì. Il widget è disponibile in 15 lingue e segue automaticamente la lingua del negozio online di ciascun cliente. Nella pagina Traduzioni puoi sovrascrivere per lingua qualsiasi stringa del widget di accesso e della pagina di verifica (OTP), e perfino aggiungere una lingua non elencata; "Ripristina predefiniti" riporta un'intera lingua ai testi integrati. I testi delle caselle marketing e consenso si modificano invece direttamente nella sezione Marketing opt-in della pagina Provider di identità (anch'essi per lingua, e accettano HTML).

L'admin dell'app è disponibile in 11 lingue, selezionabili dal menu lingua nell'header.

Non in modo percepibile. Il widget è un unico file impacchettato, servito dal CDN di Shopify e caricato con defer — viene eseguito dopo il rendering della pagina e non blocca mai il primo disegno. Popup e blocco scheda condividono lo stesso file, quindi una pagina lo carica una sola volta. Inoltre il blocco scheda di accesso non viene generato affatto per i clienti già autenticati.

Sì, nella sezione Marketing opt-in della pagina Provider di identità. La casella "Ricevi novità e offerte via e-mail" all'accesso si sincronizza con il consenso marketing Shopify del cliente; puoi decidere se sia preselezionata (nota: la preselezione non è consentita da GDPR/ePrivacy in UE e Regno Unito) e se lasciarla deselezionata comporti la disiscrizione. La stessa sezione può inoltre rendere obbligatoria una casella di accettazione dei termini prima dell'accesso. Testi e link di entrambe le caselle si modificano qui, per lingua.

Se la casella viene spuntata da un cliente che ancora non esiste, il consenso viene trattenuto e applicato quando Shopify crea effettivamente quel cliente — quindi è normale che un cliente appena registrato non mostri subito il consenso: non è un opt-in perso.

Sì. Nella sezione Piattaforme di marketing della pagina Provider di identità, collega Klaviyo, Mailchimp o Omnisend con la tua chiave API — "Convalida chiave" conferma la connessione, poi "Recupera liste" ti fa scegliere a quali liste aggiungere i clienti — e decidi se sincronizzare tutti a ogni accesso o solo chi ha dato il consenso. Puoi anche taggare i clienti sincronizzati con social-login o con un tag tuo, e creare in Klaviyo metriche per l'accesso social e per Google One Tap.

Sì, nella sezione Identità di accesso social della pagina Provider di identità:

• Tag — tagga automaticamente il cliente quando accede via social. Il template predefinito è uid_%(social)s_%(user_id)s e le variabili disponibili sono %(social)s e %(user_id)s. (L'IP non è offerto di proposito: cambia a ogni accesso ed esaurirebbe il limite Shopify di 250 tag per cliente.)
• Metacampo cliente — sempre attivo: ogni accesso social scrive JSON in un metacampo cliente con provider, ID utente, nome e data del collegamento. Dal tema lo leggi con {{ customer.metafields.hiko.social_identities }}.

Sì, nella pagina Integrations:

• Accesso headless e mobile — configura il client OAuth della Customer Account API e le origini consentite per aggiungere accesso social, OTP via e-mail e accesso biometrico a uno storefront web headless e ad app mobili native (React Native, iOS, Android). La pagina contiene le istruzioni passo passo per ottenere il Client ID, la spiegazione degli schemi URI personalizzati per il mobile e i link agli SDK e ai repository GitHub.
• Shopify Admin API — query di esempio pronte all'uso per leggere i tuoi clienti e i loro metacampi con un token di accesso che crei tu.

Sì. Nella pagina Integrations imposta un endpoint HTTPS e attiva i webhook in uscita per customer.login, customer.connected e customer.created. Ogni richiesta è firmata con un segreto che generi tu (X-HIKO-Signature), e trovi un pulsante Invia evento di prova, il registro delle consegne recenti e un esempio Node.js pronto all'uso per verificare la firma.

La pagina Analisi clienti elenca i tuoi clienti e i singoli accessi, con ricerca, filtri ed esportazione CSV. Mostra anche gli accessi nel tempo e le ripartizioni per provider, browser, sistema operativo, paese e città. Clicca su un cliente per i dettagli — telefono, tag e identità social collegate — e all'occorrenza eliminalo (insieme ai suoi accessi). Anche la dashboard mostra l'attività recente e l'andamento a 7 giorni.

Il numero di clienti qui è di solito inferiore al totale nel tuo admin Shopify, ed è corretto così: questa pagina conta solo chi ha effettuato l'accesso tramite questa app. I clienti creati al checkout, per importazione o in altri modi non compaiono.

Solo ciò che serve all'accesso e alle analisi:

• Clienti — indirizzo e-mail, nome, provider usati e relativi ID utente, primo e ultimo accesso, numero di accessi.
• Accessi — ora, provider, browser, sistema operativo e posizione approssimativa (paese / città) di ogni accesso.
• Stato temporaneo — i dati monouso usati durante l'accesso (il suggerimento sul metodo scelto, i codici monouso, la sessione "resta connesso") vivono da pochi minuti fino ai giorni che imposti e scadono da soli. La sessione "resta connesso" è cifrata a riposo.

Non conserviamo le password dei clienti presso i loro provider social, né i token di accesso a lunga durata dei provider. I dati di cliente e accesso qui sopra restano finché quel cliente non viene eliminato o finché non disinstalli l'app (vedi le due risposte seguenti).

Vanno bene entrambe le strade:

• Eliminarli tu — apri quel cliente nella pagina Analisi clienti ed eliminalo. La sua scheda e tutti i suoi accessi spariscono insieme.
• Usare la procedura Shopify — quando un cliente presenta una richiesta di cancellazione o di accesso ai dati tramite Shopify, Shopify avvisa questa app e noi cancelliamo automaticamente i dati di quel cliente. Non devi fare altro.

I segreti salvati sono mascherati nell'admin e non vengono mai restituiti in chiaro al browser; lasciare vuoto un campo segreto al salvataggio significa "mantieni il valore salvato", quindi non può essere cancellato per sbaglio. Il segreto di firma dei webhook viene mostrato per intero una sola volta, quando lo generi — copialo in quel momento.

Puoi rigenerare il Client secret del provider personalizzato quando vuoi (ti verrà chiesta conferma); il vecchio smette di funzionare all'istante. Ricordati poi di incollare il nuovo valore nelle impostazioni degli account cliente Shopify, altrimenti l'accesso si interrompe.

Alla disinstallazione tutte le impostazioni (provider, credenziali, stili, SMTP, marketing) vengono cancellate e le sessioni di accesso invalidate. I dati di clienti e accessi vengono poi cancellati circa 48 ore dopo, quando Shopify ci avvisa come richiedono le sue regole.

Quindi reinstallare significa ripartire da zero: ogni credenziale dei provider va reinserita e il provider personalizzato negli account cliente Shopify va riconfigurato con nuovi Client ID e secret. I clienti restano su Shopify — sono clienti di Shopify, non nostri — ma la traccia di chi ha effettuato l'accesso con quale account social non torna.

Controlla in quest'ordine:

• L'incorporazione app non è attiva. Il popup richiede Sign-in widget attivato e salvato nelle incorporazioni app del tema — Attiva nel tema nella pagina Widget del negozio ti porta direttamente lì.
• L'icona account non è stata riconosciuta. Il rilevamento automatico copre la maggior parte dei temi ma può mancare quelli molto personalizzati; aggiungi il selettore CSS di quell'elemento sotto Controllo account.
• Sei tu a essere autenticato. Il blocco scheda di accesso non viene mostrato ai clienti autenticati — provalo in una finestra privata.

• Il provider personalizzato è stato salvato ma non attivato. È la causa più comune. Verifica che sia attivo nelle impostazioni degli account cliente Shopify, poi conferma con Verifica configurazione.
• Il Client ID è obsoleto. Se hai rigenerato il secret o reinstallato l'app, Shopify potrebbe avere ancora il valore vecchio — Verifica configurazione ti dice esattamente quale vede.
• Quel provider non ha credenziali. I provider senza credenziali sono segnalati nella lista; i loro pulsanti non funzionano.

Assicurati che la Callback URL mostrata per quel provider sia registrata, esattamente com'è, nella console del provider. La callback sul dominio del tuo negozio si usa solo quando usi il tuo client Google; in tutti gli altri casi (incluso il nostro client Google condiviso) vale la callback broker mostrata accanto ai campi del provider. Copia il valore identico.

E-mail: fai controllare prima la cartella spam. Se hai configurato un SMTP personalizzato, usa Invia e-mail di prova per confermare che impostazioni del server e indirizzo mittente funzionino — un dominio di invio senza i corretti record di autenticazione finisce facilmente nello spam. Nota inoltre che un singolo indirizzo e-mail può ricevere al massimo 20 codici al giorno; raggiunto il limite, il cliente lo vede indicato direttamente.

WhatsApp: con il tuo numero, il modello di messaggio deve essere un modello di autenticazione approvato da Meta e il codice lingua del modello deve corrispondere a quello che hai inserito. Con il numero condiviso i limiti sono 10 codici per cliente al giorno e 2000 per negozio al giorno.

Quasi sempre dipende dal nome del parametro URI di reindirizzamento dopo la disconnessione non impostato. Con "resta connesso" attivo ricordiamo quel cliente anche da parte nostra, e Shopify deve avvisarci alla disconnessione perché possiamo cancellare quel ricordo.

Torna nell'admin Shopify → Impostazioni → Account cliente, apri il tuo provider personalizzato e verifica che quel campo valga post-sign-out (lo stesso valore mostrato nell'app). Salva e riprova la disconnessione.

Usa il pulsante Assistenza nell'header per scriverci (allegati benvenuti): risponderemo via e-mail.