Вхід через Google — без окремого пароля

На сторінках входу та реєстрації з’явилася кнопка «Увійти через Google». Якщо пошту вже зареєстровано, відкриється ваш кабінет; якщо ні — кабінет буде створено одразу, без пароля. Google передає платформі лише адресу пошти, позначку про те, що її підтверджено, та імʼя.

Кнопка веде на сторінку Google, де потрібно вибрати акаунт: сайт щоразу просить вибір, а не входить мовчки. Запитуються лише права openid, email і profile. Перед переходом сайт ставить службовий файл cookie на 10 хвилин з одноразовою позначкою. Під час повернення позначку звіряють, а підпис, видавця й адресата відповіді Google перевіряють за публічними ключами Google. Будь-який збій повертає на сторінку входу з повідомленням про помилку.

Акаунт шукається за адресою пошти, приведеною до нижнього регістру. Вхід дозволено, лише якщо Google підтверджує цю адресу. Якщо адреса вже є в базі, відкривається її кабінет. Якщо ні, створюється новий: імʼя береться з Google, а за його відсутності — частина адреси до «@», мова інтерфейсу — поточна мова сайту, пошту одразу позначено підтвердженою. Пароля в такого кабінету немає: у базі лежить порожнє значення, з яким жоден пароль не збігається.

Якщо вхід не вдався, сторінка входу показує повідомлення «Не вдалося увійти через Google». Так буває, коли Google не підтвердив адресу, повернення не пройшло перевірку або в сайту не задано ключі застосунку Google. Подробиці користувачеві не розкриваються. Увійти за паролем при цьому можна, якщо його задано: звичайна форма входу працює поруч із кнопкою й від неї не залежить.

Пароль можна задати пізніше через «Забули пароль?» — тоді увійти вдасться обома способами. В усіх формах із паролем — під час входу, реєстрації, відновлення та зміни пароля в профілі — з’явилася кнопка показу, щоб перевірити набране перед надсиланням.

Якщо кабінет заводили через форму з паролем і пошту не підтверджували, власник адреси може прийти через Google. Тоді пароль знімається, адресу позначають підтвердженою, а всі попередні сеанси завершуються однією операцією, тож той, хто заводив кабінет за чужою адресою, з нього виходить. Задати пароль можна через «Забули пароль?»: посилання надходить на пошту, діє одну годину й спрацьовує один раз.

Кнопка показу пароля працює лише в браузері: вона перемикає поле між прихованим і відкритим текстом і нічого не надсилає. Новий кабінет відкривається в ознайомчому режимі, де розділи показують лише частину даних; повний доступ надається окремо, після знайомства, і не залежить від способу входу. Вхід через Google — лише спосіб потрапити до кабінету.

З відповіді Google сайт використовує адресу пошти, ознаку її підтвердження та імʼя; код входу не зберігає токени Google. Права на читання пошти, контактів чи файлів не запитуються. Під час створення нового кабінету сервер може надіслати до Google Analytics одну подію реєстрації з позначкою «google»; адреса й імʼя в ній не передаються. На сторінках входу, реєстрації та в кабінеті сторонніх скриптів немає, а на публічних сторінках підключено Google Tag Manager.

Що платформа зберігає, навіщо та кому передає, описано в політиці конфіденційності, посилання на неї є в підвалі сайту. Коротко: куки потрібні лише для входу та вибору мови, на сторінках входу, реєстрації та в кабінеті рекламних і аналітичних cookie немає, а свої дані можна виправити, вивантажити або видалити.