Inicio de sesión social para PrestaShop: acceso con Google, Facebook y Apple

Este es el momento en el que muchas tiendas PrestaShop pierden una venta sin hacer ruido: un cliente nuevo llega a la página de registro, ve un formulario vacío que le pide correo electrónico, contraseña y confirmación de contraseña, y decide que la compra no era tan urgente. El inicio de sesión social elimina esa barrera. En lugar de inventar otra contraseña más, el cliente pulsa "Iniciar sesión con Google" (o Facebook, o Apple), autoriza el intercambio de datos y vuelve a tu tienda con la sesión ya iniciada, con su nombre y correo completados. Esta guía explica cómo hacerlo bien en PrestaShop: cómo funciona el intercambio OAuth, cómo configurar los tres proveedores, qué debe gestionar realmente el módulo por ti y qué detalles del RGPD no puedes pasar por alto.

La fricción que esto resuelve es la misma que complica el proceso de pago: cada campo adicional es una oportunidad para abandonar. Si la creación de cuenta es la barrera de entrada de tu tienda, el formulario de registro en varios pasos es un problema hermano que conviene leer junto con este: de dónde vienen realmente tus clientes te muestra en qué proveedores ya está tu público, y eso determina qué botones de acceso merece la pena mostrar.

Última actualización: junio de 2026.

Por qué reducir la fricción de los invitados es el verdadero beneficio

Es tentador presentar el inicio de sesión social como una "función de registro". En realidad no lo es: es una función contra la fricción. Su valor aparece en dos momentos concretos, y nombrarlos ayuda a mantener honesto el resto de esta guía:

• Primer contacto. Un visitante nuevo es el cliente más frágil que tienes. La creación obligatoria de cuenta es una de las causas de abandono mejor documentadas en el comercio electrónico, y cada campo que pides antes de que haya comprado nada es una razón para irse. Un botón en lugar de un formulario convierte una tarea de 60 a 90 segundos en un toque de dos segundos.
• La visita de vuelta. La gente olvida contraseñas: el comprador medio gestiona decenas de cuentas y reutiliza credenciales entre ellas. Un cliente recurrente que no recuerda su contraseña y no quiere molestarse con el correo de restablecimiento es un cliente que ya habías ganado y que estás a punto de perder otra vez. El inicio de sesión social evita por completo el desvío de "he olvidado mi contraseña": lo reconoce el proveedor, no una cadena que tiene que recordar.

También hay un beneficio de seguridad escondido ahí. Cuando un cliente inicia sesión con Google, la contraseña nunca toca tu tienda: no hay ninguna contraseña que tengas que almacenar y, por tanto, nada que pueda filtrarse en una brecha. Traducido a términos sencillos para el propietario de la tienda: menos credenciales en tu base de datos significa menos responsabilidad sobre tus hombros.

Cómo funciona el inicio de sesión social: el intercambio OAuth2, sin rodeos

La mayoría de inicios de sesión sociales usan OAuth 2.0 junto con un token de identidad al estilo OpenID Connect, según el proveedor: el acceso con Google y Apple añade validación de identidad sobre OAuth 2.0. La mecánica importa porque explica por qué algunos pasos de configuración son inevitables. Cuando un cliente hace clic en "Iniciar sesión con Google", la secuencia es esta:

• Tu tienda redirige al cliente a la propia página de inicio de sesión de Google: se autentica en Google, nunca en tu tienda.
• Google pide al cliente que apruebe compartir con tu tienda un conjunto concreto y nombrado de datos (normalmente nombre, correo electrónico y foto de perfil).
• Google devuelve al cliente a una URL de callback de tu tienda, llevando un código de autorización de un solo uso.
• Tu tienda intercambia ese código por un token de acceso mediante una llamada de servidor a servidor que el cliente nunca ve.
• Con el token, tu tienda obtiene los datos de perfil aprobados y crea un cliente de PrestaShop o lo vincula a uno existente.

La conclusión práctica para el propietario de una tienda: la contraseña del cliente nunca se comparte contigo, y todo el intercambio depende de que la URL de callback y las credenciales del proveedor coincidan exactamente. Si aciertas esas dos cosas, el resto es trabajo del módulo. Si te equivocas, el botón no hace nada, por eso la mayoría de incidencias de "el inicio de sesión social no funciona" acaban siendo una URI de redirección mal escrita.

Configurar el acceso con Google

Google es el proveedor más utilizado y el más sencillo de configurar, así que es el mejor punto de partida.

Crear un proyecto en Google Cloud y la pantalla de consentimiento

En Google Cloud Console, crea un proyecto nuevo y configura la pantalla de consentimiento OAuth antes de nada. Elige "External" como tipo de usuario, introduce el nombre de tu tienda, un correo de soporte y tu dominio autorizado. En los permisos, solicita solo email y profile, nada más. Pedir menos no es solo ordenado: también es una postura adecuada ante el RGPD y acelera la revisión de Google.

Crear el cliente OAuth 2.0

En APIs & Services → Credentials, crea un Client ID de OAuth 2.0 de tipo "Web application". Añade el dominio de tu tienda a los orígenes JavaScript autorizados y añade la URL de callback de tu módulo a las URI de redirección autorizadas. El callback sigue el patrón de tu módulo, normalmente algo como https://yourstore.com/module/[yoursocialloginmodule]/callback?provider=google. Copia el Client ID y el Client Secret resultantes.

Introducir las credenciales en PrestaShop

Pega el Client ID y el Client Secret en la configuración de tu módulo de inicio de sesión social, guarda y prueba el botón en la página de acceso de tu tienda. Si la redirección vuelve con un error de discrepancia, la URI de redirección de la consola de Google no coincide byte por byte con la que emite tu módulo, incluyendo http frente a https y la ruta final. Es el fallo de configuración más común en los tres proveedores.

Configurar el inicio de sesión con Facebook

El inicio de sesión con Facebook se crea desde el portal Meta for Developers y requiere algo más de proceso que Google.

Crear la aplicación y configurar el inicio de sesión

Crea una aplicación de Meta para Facebook Login / autenticación de usuarios y añade después el producto o caso de uso Facebook Login (el flujo de creación de aplicaciones de Meta cambia con el tiempo y puede mostrar casos de uso en lugar de un tipo de aplicación fijo). En su configuración, añade la URL de callback de tu tienda en "Valid OAuth Redirect URIs" y deja activado "Enforce HTTPS". Por defecto puedes solicitar los permisos email y public_profile: es suficiente para crear la cuenta. Resiste la tentación de pedir más (lista de amigos, publicaciones): los permisos excesivos asustan a los usuarios y pueden hacer que tu aplicación sea rechazada durante la revisión.

Revisión de la aplicación y modo en vivo

Mientras tu aplicación esté en modo "Development", el botón de inicio de sesión solo funcionará para las personas incluidas como desarrolladores o probadores. Para abrirlo a clientes reales, debes cambiar la aplicación a "Live" y tener configuradas las políticas y opciones de eliminación de datos necesarias. Si solo usas los datos estándar de inicio de sesión email y public_profile, por lo general no necesitas App Review: eso se reserva para permisos avanzados o funciones que van más allá del inicio de sesión estándar. Si pides algo más que los datos estándar de inicio de sesión, cuenta con el plazo de revisión para no llevarte una sorpresa cuando el botón te funcione a ti y a nadie más.

El detalle de Facebook que conviene conocer de antemano

Meta ha ido endureciendo el acceso a los datos. El punto que más afecta al comercio electrónico es este: el permiso de correo a veces devuelve ningún correo electrónico, normalmente cuando el cliente se registró en Facebook solo con un número de teléfono. Un flujo de inicio de sesión que presupone que siempre llegará un correo fallará en silencio. El comportamiento correcto, y lo que hace un módulo bien construido, es detectar que falta el correo y pedir al cliente que introduzca uno antes de completar la cuenta. Si ya te apoyas en Facebook como canal de ventas, merece la pena entender cómo trata la plataforma tus datos en un sentido más amplio: lo explicamos en vender en Facebook con PrestaShop y, desde el lado de la medición, en por qué el Pixel de Facebook sigue importando.

Configurar el acceso con Apple

El inicio de sesión con Apple es el más reciente de los tres y el más diseñado alrededor de la privacidad, lo que significa que exige más a tu módulo. Se configura desde el portal Apple Developer y requiere una cuenta de pago de Apple Developer (99 USD/año).

Pasos de configuración

• Registra un App ID nuevo y activa "Sign in with Apple" para él.
• Crea un Services ID: actúa como tu client ID de OAuth.
• Establece la URL de retorno en el callback de tu tienda.
• Genera una clave privada para la autenticación del cliente. Apple no usa una cadena sencilla de Client Secret: espera un secreto de cliente basado en JWT y firmado con esa clave, que tu módulo genera por ti.

Dos comportamientos de Apple que tu módulo debe gestionar

• Hide My Email. Apple permite al cliente ocultar su dirección real detrás de una dirección aleatoria @privaterelay.apple.com. Los correos enviados ahí se reenvían a su buzón real, pero tu tienda solo ve la dirección de retransmisión, y tu módulo debe tratarla como un correo perfectamente válido, no rechazarla como sospechosa.
• El nombre se comparte una sola vez. Apple envía el nombre del cliente en la primera autenticación y nunca más. Si tu módulo no lo captura y almacena en ese primer callback, lo pierdes para siempre salvo que el cliente vuelva a autorizar. Es una fuente clásica de dudas tipo "por qué la mitad de mis clientes de Apple no tienen nombre": la solución es capturar el nombre de inmediato, en el primer intercambio.

Qué recibes realmente de cada proveedor

Conocer de antemano la forma exacta de los datos evita diseñar un flujo de registro que presuponga campos que quizá nunca lleguen:

Cuál de estos proveedores merece el esfuerzo de configuración depende por completo de dónde estén ya tus clientes. Google y Facebook dominan en la mayoría de mercados de habla inglesa; en Alemania, el uso del inicio de sesión con Facebook es menor por motivos de privacidad, mientras que Google se mantiene fuerte; Apple tiende a concentrarse en usuarios de iOS, que a menudo tienen valores de pedido más altos. No hace falta ofrecer los tres: ajusta los botones a tu público y revisa la combinación cuando cambie tu tráfico. La pregunta más amplia sobre qué plataformas justifican su sitio la tratamos en integrar los flujos de contenido de Instagram y Facebook en tu tienda.

Gestionar clientes que ya tienen una cuenta

Este es el caso límite que separa un módulo de inicio de sesión social ordenado de uno problemático. ¿Qué debería ocurrir cuando alguien que ya se registró a la antigua, con correo y contraseña, hace clic en "Iniciar sesión con Google" usando ese mismo correo?

• Coincidir por correo y luego vincular, nunca duplicar. Si el correo social coincide con un cliente de PrestaShop existente, el módulo debería asociar la identidad social a esa cuenta existente, no crear un segundo perfil que fragmente su historial de pedidos.
• Confirmar la vinculación la primera vez. Los mejores módulos piden al cliente que introduzca una vez su contraseña actual de PrestaShop para confirmar la vinculación. Ese único paso bloquea una técnica de toma de control de cuenta en la que un atacante que controla una cuenta social con un correo coincidente podría colarse en el historial de pedidos de otra persona.
• Permitir varios proveedores por cuenta. Un cliente puede usar Google en su portátil y Apple en su teléfono. Guardar los ID de usuario específicos de cada proveedor en una tabla de asignación permite que ambas rutas terminen en la misma cuenta de PrestaShop.

Recopilación de datos y RGPD: la parte que no puedes saltarte

El inicio de sesión social trae datos personales de un tercero a tu tienda, lo que te convierte en responsable del tratamiento de esos datos. Eso no es un motivo para evitarlo; es un motivo para documentarlo. Las obligaciones son concretas:

• Consentimiento. La pantalla de consentimiento OAuth del proveedor autoriza la transferencia de datos del proveedor a la tienda, pero no cubre tus propias obligaciones: tu tienda sigue necesitando su propia base jurídica, una política de privacidad que explique qué recibes mediante el inicio de sesión social y qué haces con ello, y cualquier gestión del consentimiento exigida en tu jurisdicción.
• Minimización de datos. Solicita solo los permisos que usas de verdad. Obtener la lista de amigos de Facebook cuando solo necesitabas un correo no es solo de mal gusto: es un problema de cumplimiento.
• Derecho de supresión. Cuando un cliente pide que se eliminen sus datos, revoca la conexión social y elimina los datos vinculados junto con la cuenta.
• Transparencia sobre la retransmisión. Si aceptas direcciones Hide My Email de Apple, tus correos transaccionales y de marketing tienen que seguir funcionando a través de la retransmisión: diseña tus flujos asumiendo que la dirección reenvía, no que se resuelve en un buzón "real" que puedas inspeccionar.

Dónde colocar los botones

La ubicación decide la adopción más de lo que parece. Algunas reglas que funcionan en tiendas muy distintas:

• Encima del formulario, no debajo. Tanto en las páginas de inicio de sesión como de registro, los botones sociales van primero: la gente escanea de arriba abajo, y la opción de un solo toque debería ser lo primero que ve, no un premio de consolación bajo una pared de campos.
• Ofrécelo dentro del pago como invitado. "Inicia sesión con Google para rellenar tus datos automáticamente" es una frase realmente convincente justo en el momento en que el cliente se prepara para escribir una dirección.
• Usa los estilos oficiales de los botones. Google, Facebook y Apple publican especificaciones exactas: colores, tamaños y textos. Un botón casero parece poco fiable justo donde la confianza más importa.
• Diseña para pulgares. Mantén una zona táctil generosa (44×44px o más). El inicio de sesión social aporta más en móvil, donde escribir una contraseña es más lento y más propenso a errores, así que no dejes que un botón demasiado pequeño desperdicie la ventaja.

Detalles de seguridad que el módulo debería resolver bien

El inicio de sesión social elimina el riesgo de almacenar contraseñas, pero añade algunos riesgos propios. No tienes que implementarlos tú, pero sí conviene saber que están cubiertos:

• El parámetro state. Todo flujo OAuth debería generar un valor aleatorio state, guardarlo en la sesión y verificarlo en el callback: esto es lo que bloquea ataques CSRF en el intercambio de inicio de sesión.
• HTTPS, siempre. Para tiendas en producción, usa URL de callback HTTPS: los proveedores las exigen para tiendas activas. Puede haber excepciones para localhost o pruebas en desarrollo, pero no dependas de ellas en una tienda real: si tu tienda no está completamente en HTTPS, el inicio de sesión social no funcionará.
• Los tokens quedan fuera de la vista. Los tokens de acceso deben estar en almacenamiento seguro del lado del servidor, nunca en URL, registros ni JavaScript del lado del cliente.

Medir si realmente ha ayudado

No des el beneficio por sentado y no lo juzgues con tres días de datos. Antes de activarlo, registra tu tasa de registros y tu tasa de abandono del carrito de clientes nuevos. Después, observa esos mismos dos números durante una ventana significativa, con suficientes pedidos como para leer una tendencia y no ruido, y añade dos métricas más:

• Desglose por proveedor. ¿Qué botones pulsan realmente los clientes? Esto te dice si el tercer proveedor que configuraste está justificando su presencia.
• Tasa de vinculación de cuentas. ¿Cuántos clientes existentes conectan una cuenta social? Una tasa alta es una señal clara de que tus clientes valoran la comodidad y de que la función está cumpliendo.

Preguntas frecuentes

¿Por qué mi botón de inicio de sesión social vuelve con un error de "redirect URI mismatch"?

La URI de redirección registrada con el proveedor no coincide byte por byte con la que emite tu módulo. Comprueba http frente a https, una ruta final ausente o sobrante, y www frente al dominio sin prefijo: las tres cosas cuentan como URI distintas. Esta única discrepancia es la causa más común de "el inicio de sesión social no funciona" en los tres proveedores.

¿Tengo que configurar los tres proveedores?

No: ajusta los botones a donde ya están tus clientes. Google y Facebook dominan en la mayoría de mercados de habla inglesa; en Alemania, la adopción de Facebook es menor por motivos de privacidad, mientras que Google se mantiene fuerte; Apple se inclina hacia usuarios de iOS, a menudo con valores de pedido más altos. Lanza uno o dos proveedores que use tu público y añade un tercero solo si los datos demuestran que merece la pena.

Un cliente de Facebook ha iniciado sesión, pero no he recibido su correo electrónico. ¿Es un error?

No, es un comportamiento esperado. Facebook a veces no devuelve ningún correo, normalmente cuando el cliente se registró solo con un número de teléfono. Un flujo de inicio de sesión que presupone que siempre llega un correo falla en silencio. El módulo debería detectar que falta la dirección y pedir al cliente que introduzca una antes de terminar la cuenta.

La mitad de mis clientes de Apple no tienen nombre. ¿Qué ha pasado?

Apple envía el nombre del cliente solo en la primera autenticación y nunca más. Si el módulo no lo captura y almacena en ese primer callback, se pierde salvo que el cliente vuelva a autorizar. Asegúrate de que tu módulo captura el nombre en el primer intercambio, y de que acepta como válidas las direcciones "Hide My Email" de Apple @privaterelay.apple.com.

¿Qué ocurre si alguien usa Google con el mismo correo que su cuenta existente con contraseña?

Un módulo bien construido coincide por correo y vincula la identidad social a la cuenta existente, en lugar de crear un duplicado que divida el historial de pedidos. Los mejores piden una vez la contraseña existente para confirmar la vinculación: ese paso bloquea una técnica de toma de control de cuenta en la que alguien que controle una cuenta social coincidente podría entrar en la cuenta de otro cliente. Vincular limpiamente con el registro de cliente existente es el tipo de detalle que nuestros módulos de pago y clientes están pensados para resolver bien.

Conviene plantearlo con honestidad: el inicio de sesión social es una capacidad, no una garantía. Elimina fricción en la puerta de entrada y en la visita de vuelta; que eso se convierta en más pedidos depende del resto de tu embudo. Pero, entre los cambios que puedes hacer en una tienda PrestaShop, pocos son tan baratos de añadir y tan fáciles de medir. En mypresta.rocks creamos módulos que reducen la fricción en la experiencia de cliente de PrestaShop, y el inicio de sesión social encaja de forma natural junto al pago optimizado y las herramientas de gestión de clientes como otro punto donde dejar de pedir a los clientes cosas que preferirían no dar.