Tocchi "Continua con Google", scegli il tuo account, e la cosa successiva che dovresti vedere è ToRun. Ciò che molte persone vedevano invece era una pagina che chiedeva di andare a confermare la propria e-mail — lo stesso indirizzo che Google aveva appena verificato per loro conto, trenta secondi prima.
L'abbiamo trovato contando. Da quando la regola che richiede un indirizzo confermato per accedere è entrata in vigore, più di un quarto degli account creati tramite Google non ha mai effettuato l'accesso: nessuna sessione, mai, nemmeno una volta. Creavano un account e rimbalzavano contro un muro.
Perché è successo
Il framework che usiamo conferma un indirizzo automaticamente solo su un ramo: il flusso in cui una persona digita un codice di verifica durante la registrazione. Quel ramo è disattivato da noi, perché una registrazione social non ha dove digitare un codice. Così ogni completamento con Google o Apple creava un account non confermato, inviava un link di conferma alla casella che il provider aveva appena garantito, e reindirizzava alla pagina di conferma senza far accedere nessuno.
Nulla falliva. Nessun errore veniva registrato. La pagina sembrava persino qualcosa di ragionevole da mostrare a qualcuno.
Esisteva una protezione esattamente per questa situazione, aggiunta settimane prima, e non si è mai attivata — perché vive nella pagina di accesso, e entrambi i pulsanti Google passano per un percorso completamente diverso.
Nasce confermato
Un account creato con Google o Apple ora parte confermato, finché l'indirizzo registrato è davvero quello che il provider ha effettivamente dichiarato. Se il provider dice esplicitamente di non aver verificato l'indirizzo, quella fiducia viene negata, e gira il vecchio flusso. Se la conferma fallisce per qualsiasi motivo, gira anche in quel caso il vecchio flusso, e il link viene inviato.
L'e-mail di conferma che il framework avrebbe inviato viene risposta con il silenzio invece che spedita, così nessuno riceve un'e-mail che chiede di confermare qualcosa che è già confermato.
L'indirizzo stesso è ora di sola lettura nella pagina di completamento, con una riga in 29 lingue che spiega che il provider lo ha verificato. E sul telefono, passare dalla registrazione alla schermata di verifica azzera lo stack, così un gesto indietro atterra sulla schermata di accesso invece che su un modulo mezzo compilato con nome utente e indirizzo ancora modificabili.
Nessuno ha bisogno di essere riparato
Gli account bloccati dietro il vecchio muro non necessitano di migrazione. Il loro prossimo tocco su "Continua con Google" li conferma — questo è vero da una correzione precedente, ed è l'intero percorso di recupero.
Il controllo che avrebbe dovuto intercettarlo — quello che legge i percorsi di accesso e conferma il comportamento di ciascuno — è rimasto verde per quattro settimane mentre questo era rotto, perché ogni hook che osserva vive su una pagina che questo flusso non tocca mai. Ora ha dodici nuovi controlli sulle pagine che tocca davvero.