Вход через Google — без отдельного пароля

На страницах входа и регистрации появилась кнопка «Войти через Google». Если почта уже зарегистрирована, откроется ваш кабинет; если нет — кабинет будет создан сразу, без пароля. Google передаёт платформе только адрес почты, отметку о том, что он подтверждён, и имя.

Кнопка ведёт на страницу Google, где нужно выбрать аккаунт: сайт каждый раз просит выбор, а не входит молча. Запрашиваются только права openid, email и profile. Перед переходом сайт ставит служебную cookie на 10 минут с одноразовой меткой. При возврате метка сверяется, а подпись, издатель и адресат ответа Google проверяются по публичным ключам Google. Любой сбой возвращает на страницу входа с сообщением об ошибке.

Аккаунт ищется по адресу почты, приведённому к нижнему регистру. Вход разрешён, только если Google подтверждает этот адрес. Если адрес уже есть в базе, открывается его кабинет. Если нет, создаётся новый: имя берётся из Google, а при его отсутствии — часть адреса до «@», язык интерфейса — текущий язык сайта, почта сразу отмечена подтверждённой. Пароля у такого кабинета нет: в базе лежит пустое значение, с которым ни один пароль не совпадёт.

Если вход не удался, страница входа показывает сообщение «Не удалось войти через Google». Так бывает, когда Google не подтвердил адрес, возврат не прошёл проверку или у сайта не заданы ключи приложения Google. Подробности пользователю не раскрываются. Войти по паролю при этом можно, если он задан: обычная форма входа работает рядом с кнопкой и от неё не зависит.

Пароль можно задать позже через «Забыли пароль?» — тогда войти получится обоими способами. Во всех формах с паролем — при входе, регистрации, восстановлении и смене пароля в профиле — появилась кнопка показа, чтобы проверить набранное перед отправкой.

Если кабинет заводили через форму с паролем и почту не подтверждали, владелец адреса может прийти через Google. Тогда пароль снимается, адрес отмечается подтверждённым, а все прежние сеансы завершаются одной операцией, так что тот, кто заводил кабинет по чужому адресу, из него выходит. Задать пароль можно через «Забыли пароль?»: ссылка приходит на почту, действует один час и срабатывает один раз.

Кнопка показа пароля работает только в браузере: она переключает поле между скрытым и открытым текстом и ничего не отправляет. Новый кабинет открывается в ознакомительном режиме, где разделы показывают лишь часть данных; полный доступ даётся отдельно, после знакомства, и не зависит от способа входа. Вход через Google — только способ попасть в кабинет.

Из ответа Google сайт использует адрес почты, признак его подтверждения и имя; код входа не сохраняет токены Google. Права на чтение почты, контактов или файлов не запрашиваются. При создании нового кабинета сервер может отправить в Google Analytics одно событие регистрации с пометкой «google»; адрес и имя в нём не передаются. На страницах входа, регистрации и в кабинете сторонних скриптов нет, а на публичных страницах подключён Google Tag Manager.

Что платформа хранит, зачем и кому передаёт, описано в политике конфиденциальности, ссылка на неё есть в подвале сайта. Коротко: куки нужны только для входа и выбора языка, на страницах входа, регистрации и в кабинете рекламных и аналитических cookie нет, а свои данные можно исправить, выгрузить или удалить.