Klepnete na „Pokračovať cez Google“, vyberiete účet a ďalšia vec, ktorú by ste mali vidieť, je ToRun. Mnohí namiesto toho videli stránku, ktorá ich žiadala ísť potvrdiť e-mail — tú istú adresu, ktorú Google v ich mene práve overil, o tridsať sekúnd skôr.
Našli sme to počítaním. Odkedy nadobudlo platnosť pravidlo vyžadujúce potvrdenú adresu na prihlásenie, viac ako štvrtina účtov založených cez Google sa nikdy neprihlásila: žiadna relácia, nikdy, ani raz. Vytvorili účet a odrazili sa od steny.
Prečo sa to stalo
Framework, ktorý používame, potvrdzuje adresu automaticky iba na jednej vetve: v toku, kde človek počas registrácie zadá overovací kód. Táto vetva je u nás vypnutá, pretože sociálna registrácia nemá kam kód zadať. Každé dokončenie cez Google alebo Apple tak vytvorilo nepotvrdený účet, poslalo potvrdzovací odkaz do schránky, za ktorú poskytovateľ práve ručil, a presmerovalo na stránku potvrdenia bez toho, aby niekoho prihlásilo.
Nič nezlyhalo. Žiadna chyba sa nezaznamenala. Stránka dokonca vyzerala ako niečo rozumné, čo možno niekomu ukázať.
Existovala ochrana presne pre túto situáciu, pridaná pred týždňami, a nikdy sa nespustila — pretože žije na prihlasovacej stránke a obe tlačidlá Google idú úplne inou cestou.
Rodí sa potvrdený
Účet založený cez Google alebo Apple teraz začína potvrdený, pokiaľ je registrovaná adresa naozaj tá, ktorú poskytovateľ skutočne uviedol. Ak poskytovateľ výslovne povie, že adresu neoveril, táto dôvera sa neposkytne a beží starý tok. Ak potvrdenie z akéhokoľvek dôvodu zlyhá, beží tiež starý tok a odkaz sa odošle.
Potvrdzovací e-mail, ktorý by framework spustil, je teraz zodpovedaný mlčaním namiesto odoslania, takže nikto nedostane e-mail žiadajúci o potvrdenie niečoho, čo je už potvrdené.
Samotná adresa je teraz na stránke dokončenia len na čítanie, s riadkom v 29 jazykoch vysvetľujúcim, že ju poskytovateľ overil. A na telefóne prechod z registrácie na obrazovku overenia resetuje zásobník, takže gesto späť pristane na prihlasovacej obrazovke namiesto na napoly vyplnenom formulári s používateľským menom a adresou stále upraviteľnými.
Nikoho netreba opravovať
Účty uväznené za starou stenou nepotrebujú migráciu. Ich ďalšie klepnutie na „Pokračovať cez Google“ ich potvrdí — to platí od skoršej opravy a je to celá cesta obnovy.
Kontrola, ktorá to mala zachytiť — tá, čo číta prihlasovacie cesty a potvrdzuje správanie každej z nich — zostala zelená štyri týždne, kým bolo toto pokazené, pretože každý hák, ktorý sleduje, žije na stránke, ktorej sa tento tok nikdy nedotkne. Teraz má dvanásť nových kontrol na stránkach, ktorých sa skutočne dotýka.