Apeşi „Continuă cu Google”, alegi contul, iar următorul lucru pe care ar trebui să-l vezi este ToRun. Ceea ce au văzut mulţi oameni în schimb a fost o pagină care le cerea să meargă să confirme e-mailul — aceeaşi adresă pe care Google tocmai o verificase în numele lor, cu treizeci de secunde înainte.
Am găsit asta numărând. De când regula că este necesară o adresă confirmată pentru autentificare a intrat în vigoare, mai mult de un sfert dintre conturile create prin Google nu s-au autentificat niciodată: nicio sesiune, niciodată, nici măcar o dată. Creau un cont şi se loveau de un perete.
De ce s-a întâmplat
Framework-ul pe care îl folosim confirmă automat o adresă doar pe o singură ramură: fluxul în care o persoană introduce un cod de verificare în timpul înregistrării. Acea ramură este dezactivată la noi, pentru că o înregistrare socială nu are unde să introducă un cod. Aşadar fiecare finalizare prin Google sau Apple crea un cont neconfirmat, trimitea un link de confirmare la căsuţa poştală pentru care furnizorul tocmai garantase, şi redirecţiona către pagina de confirmare fără să autentifice pe nimeni.
Nimic nu eşua. Nicio eroare nu era înregistrată. Pagina chiar arăta ca ceva rezonabil de arătat cuiva.
Exista o protecţie exact pentru această situaţie, adăugată cu săptămâni înainte, şi nu s-a declanşat niciodată — pentru că trăieşte pe pagina de autentificare, iar ambele butoane Google trec printr-o cale complet diferită.
Se naşte confirmat
Un cont creat cu Google sau Apple începe acum confirmat, atâta timp cât adresa înregistrată este într-adevăr cea pe care furnizorul a afirmat-o efectiv. Dacă furnizorul spune explicit că nu a verificat adresa, această încredere nu este acordată, şi rulează fluxul vechi. Dacă confirmarea eşuează din orice motiv, rulează de asemenea fluxul vechi, şi linkul este trimis.
E-mailul de confirmare pe care framework-ul l-ar fi declanşat este acum răspuns cu tăcere în loc să fie trimis, aşa că nimeni nu primeşte un e-mail care cere confirmarea a ceva care este deja confirmat.
Adresa în sine este acum doar pentru citire pe pagina de finalizare, cu un rând în 29 de limbi care explică faptul că furnizorul a verificat-o. Iar pe telefon, trecerea de la înregistrare la ecranul de verificare resetează stiva, astfel încât un gest de revenire aterizează pe ecranul de autentificare în loc de un formular pe jumătate completat cu numele de utilizator şi adresa încă editabile.
Nimeni nu trebuie reparat
Conturile blocate în spatele vechiului zid nu au nevoie de migrare. Următoarea lor atingere pe „Continuă cu Google” le confirmă — acest lucru este adevărat de la o corecţie anterioară, şi este întreaga cale de recuperare.
Verificarea care ar fi trebuit să prindă asta — cea care citeşte căile de autentificare şi confirmă comportamentul fiecăreia — a rămas verde patru săptămâni cât timp asta era stricat, pentru că fiecare cârlig pe care îl observă trăieşte pe o pagină pe care acest flux nu o atinge niciodată. Acum are douăsprezece verificări noi pe paginile pe care chiar le atinge.