Вы нажимаете «Продолжить с Google», выбираете аккаунт, и следующее, что должны увидеть, — это ToRun. Многие вместо этого видели страницу с просьбой подтвердить свою почту — тот же адрес, который Google от их имени только что проверил, тридцатью секундами ранее.
Мы нашли это подсчётом. С тех пор как правило о необходимости подтверждённого адреса для входа вступило в силу, более четверти аккаунтов, созданных через Google, ни разу не вошли: ни одной сессии, никогда, ни разу. Они создавали аккаунт и отскакивали от стены.
Почему это произошло
Используемый нами фреймворк подтверждает адрес автоматически только на одной ветке: там, где человек вводит код подтверждения при регистрации. Эта ветка у нас отключена, потому что в социальной регистрации некуда вводить код. Поэтому каждое завершение через Google или Apple создавало неподтверждённый аккаунт, отправляло ссылку подтверждения на почту, за которую только что поручился провайдер, и перенаправляло на страницу подтверждения, никого не впустив.
Ничего не давало сбоя. Ошибка нигде не фиксировалась. Страница даже выглядела как нечто разумное, что можно показать.
Существовала защита именно для этой ситуации, добавленная неделями ранее, и она ни разу не сработала — потому что живёт на странице входа, а обе кнопки Google идут совершенно другим путём.
Рождается подтверждённым
Аккаунт, созданный через Google или Apple, теперь стартует подтверждённым — пока зарегистрированный адрес действительно тот, что заявил провайдер. Если провайдер явно говорит, что не проверил адрес, это доверие не даётся, и работает старый поток. Если подтверждение по любой причине не удаётся, тоже работает старый поток, и ссылка отправляется.
Письмо подтверждения, которое запустил бы фреймворк, отвечается молчанием вместо отправки, так что никто не получает письмо с просьбой подтвердить то, что уже подтверждено.
Сам адрес теперь только для чтения на странице завершения, со строкой на 29 языках, объясняющей, что провайдер его проверил. А на телефоне переход от регистрации к экрану подтверждения сбрасывает стек, так что жест «назад» приводит на экран входа, а не на наполовину заполненную форму с ещё редактируемыми именем пользователя и адресом.
Никого не нужно чинить
Аккаунты, застрявшие за старой стеной, не нуждаются в миграции. Следующее нажатие «Продолжить с Google» их подтверждает — это верно с предыдущего исправления, и это весь путь восстановления.
Проверка, которая должна была это поймать — та, что читает пути входа и подтверждает поведение каждого, — оставалась зелёной четыре недели, пока это было сломано, потому что каждый крючок, который она наблюдает, живёт на странице, которую этот поток никогда не касается. Теперь у неё двенадцать новых проверок на страницах, которые он действительно касается.