Napautat "Jatka Googlella", valitset tilisi, ja seuraava näkemäsi asian pitäisi olla ToRun. Se mitä monet näkivät sen sijaan oli sivu joka pyysi heitä menemään vahvistamaan sähköpostinsa — sama osoite jonka Google oli juuri vahvistanut heidän puolestaan kolmekymmentä sekuntia aiemmin.
Löysimme tämän laskemalla. Siitä lähtien kun sääntö jonka mukaan vahvistettu osoite tarvitaan kirjautumiseen tuli voimaan, yli neljäsosa Googlen kautta luoduista tileistä ei ole koskaan kirjautunut sisään: ei yhtään istuntoa, koskaan, ei kertaakaan. He loivat tilin ja kimposivat pois seinästä.
Miksi tämä tapahtui
Käyttämämme kehys vahvistaa osoitteen automaattisesti vain yhdellä haaralla: kulussa jossa henkilö kirjoittaa vahvistuskoodin rekisteröitymisen aikana. Tuo haara on meillä pois päältä, koska sosiaalisessa rekisteröitymisessä ei ole mihin kirjoittaa koodia. Niinpä jokainen Google- tai Apple-suoritus loi vahvistamattoman tilin, lähetti vahvistuslinkin postilaatikkoon jonka palveluntarjoaja oli juuri taannut, ja ohjasi vahvistussivulle kirjaamatta ketään sisään.
Mikään ei epäonnistunut. Mitään virhettä ei kirjattu. Sivu näytti jopa siltä kuin se olisi järkevä näytettäväksi jollekulle.
Juuri tähän tilanteeseen oli suojaus, joka lisättiin viikkoja aiemmin, eikä se koskaan lauennut — koska se elää kirjautumissivulla, ja molemmat Google-painikkeet kulkevat täysin eri reittiä.
Syntyy vahvistettuna
Googlella tai Applella luotu tili alkaa nyt vahvistettuna, kunhan rekisteröity osoite on todella se jonka palveluntarjoaja todella ilmoitti. Jos palveluntarjoaja sanoo nimenomaisesti ettei se ole vahvistanut osoitetta, tätä luottamusta ei anneta, ja vanha kulku ajetaan. Jos vahvistus epäonnistuu jostain syystä, myös vanha kulku ajetaan, ja linkki lähetetään.
Vahvistussähköpostiin jonka kehys olisi laukaissut vastataan nyt hiljaisuudella lähettämisen sijaan, joten kukaan ei saa sähköpostia joka pyytää vahvistamaan jotain mikä on jo vahvistettu.
Itse osoite on nyt vain luku -tilassa valmistumissivulla, ja rivillä 29 kielellä joka selittää että palveluntarjoaja on vahvistanut sen. Ja puhelimessa siirtyminen rekisteröitymisestä vahvistusnäyttöön nollaa pinon, joten takaisin-ele laskeutuu kirjautumisnäytölle eikä puoliksi täytetylle lomakkeelle jossa käyttäjänimi ja osoite ovat edelleen muokattavissa.
Ketään ei tarvitse korjata
Vanhan seinän taakse jääneet tilit eivät tarvitse siirtoa. Heidän seuraava napautuksensa "Jatka Googlella" vahvistaa ne — tämä on totta aiemman korjauksen jälkeen, ja se on koko palautumisreitti.
Tarkistus joka olisi pitänyt tämän havaita — se joka lukee kirjautumisreitit ja vahvistaa kunkin käyttäytymisen — pysyi vihreänä neljä viikkoa sen ollessa rikki, koska jokainen koukku jota se tarkkailee elää sivulla jota tämä kulku ei koskaan kosketa. Sillä on nyt kaksitoista uutta tarkistusta sivuilla joita se todella koskettaa.