Bạn nhấn "Tiếp tục với Google", chọn tài khoản, và điều tiếp theo bạn sẽ thấy phải là ToRun. Điều nhiều người thấy thay vào đó là một trang yêu cầu họ đi xác nhận email — chính địa chỉ mà Google vừa xác minh thay họ ba mươi giây trước đó.
Chúng tôi phát hiện điều này bằng cách đếm. Kể từ khi quy tắc cần địa chỉ đã xác nhận để đăng nhập có hiệu lực, hơn một phần tư số tài khoản tạo qua Google chưa bao giờ đăng nhập: không một phiên nào, không bao giờ, không một lần nào. Họ tạo tài khoản rồi bật ngược lại khỏi một bức tường.
Vì sao chuyện này xảy ra
Framework chúng tôi dùng chỉ tự động xác nhận địa chỉ trên một nhánh duy nhất: luồng mà ở đó một người nhập mã xác minh trong quá trình đăng ký. Nhánh đó bị tắt ở chỗ chúng tôi, vì đăng ký qua mạng xã hội không có chỗ để nhập mã. Vì vậy mỗi lần hoàn tất bằng Google hay Apple đều tạo ra một tài khoản chưa xác nhận, gửi liên kết xác nhận đến hộp thư mà nhà cung cấp vừa bảo đảm, và chuyển hướng đến trang xác nhận mà không đăng nhập cho ai cả.
Không có gì thất bại. Không có lỗi nào được ghi lại. Trang đó thậm chí còn trông giống như một thứ hợp lý để hiển thị cho ai đó.
Đã có một biện pháp bảo vệ cho đúng tình huống này, được thêm vào vài tuần trước đó, và nó chưa bao giờ được kích hoạt — vì nó nằm trên trang đăng nhập, còn cả hai nút Google đều đi theo một con đường hoàn toàn khác.
Sinh ra đã được xác nhận
Một tài khoản tạo bằng Google hoặc Apple giờ đây bắt đầu ở trạng thái đã xác nhận, miễn là địa chỉ đăng ký thực sự là địa chỉ mà nhà cung cấp thực sự khẳng định. Nếu nhà cung cấp nói rõ ràng rằng họ chưa xác minh địa chỉ đó, sự tin tưởng đó sẽ không được trao, và luồng cũ sẽ chạy. Nếu việc xác nhận thất bại vì bất kỳ lý do gì, luồng cũ cũng chạy, và liên kết vẫn được gửi.
Email xác nhận mà framework lẽ ra đã kích hoạt được đáp lại bằng sự im lặng thay vì được gửi đi, vì vậy không ai nhận được email yêu cầu xác nhận thứ đã được xác nhận rồi.
Bản thân địa chỉ giờ đây chỉ đọc trên trang hoàn tất, kèm một dòng bằng 29 ngôn ngữ giải thích rằng nhà cung cấp đã xác minh nó. Và trên điện thoại, việc chuyển từ đăng ký sang màn hình xác minh sẽ đặt lại ngăn xếp điều hướng, vì vậy cử chỉ quay lại sẽ đưa đến màn hình đăng nhập thay vì một biểu mẫu điền dở với tên người dùng và địa chỉ vẫn còn có thể chỉnh sửa.
Không ai cần được sửa chữa
Các tài khoản mắc kẹt phía sau bức tường cũ không cần di chuyển. Lần nhấn tiếp theo vào "Tiếp tục với Google" sẽ xác nhận chúng — điều này đúng kể từ một bản sửa trước đó, và đó là toàn bộ con đường khôi phục.
Bài kiểm tra lẽ ra phải bắt được điều này — bài kiểm tra đọc các đường dẫn đăng nhập và xác nhận hành vi của từng cái — vẫn xanh suốt bốn tuần trong khi điều này bị hỏng, vì mọi móc nối mà nó quan sát đều nằm trên một trang mà luồng này chưa bao giờ chạm đến. Giờ đây nó có mười hai bài kiểm tra mới trên những trang mà nó thực sự chạm đến.