Anmelden mit einer E-Mail-Adresse
Google war der einzige Weg herein. Jetzt gibt es einen Dialog mit Anmelden, Registrieren, Passwort-Zurücksetzen und einem Einmalcode — und ein Konto mit unbestätigter Adresse wird zurückgehalten: kein Veröffentlichen per Link und zehn Dokumente statt fünfhundert, bis die Adresse bestätigt ist.
Einem Dritten eine neue Beziehung zu überlassen, nur um eine Textdatei zu behalten, ist viel verlangt — und in den ersten Wochen war es das Einzige, was hier angeboten wurde. Neben dem Google-Knopf steht jetzt ein Formular. Ist es dieselbe Adresse, ist es dasselbe Konto.
Ein Dialog, keine Seite
Anmelden, Registrieren, einen Link zum Zurücksetzen anfordern und den Bestätigungscode eingeben sind vier Ansichten eines Dialogs, der sich über das legt, was Sie gerade getan haben. Wer hier ist, konvertiert meist gerade etwas, und ein Seitenwechsel würde das offene Dokument verlieren; die Meinung zwischen „Anmelden“ und „Registrieren“ zu ändern kostet aus demselben Grund nichts. Google steht unter dem Formular und nicht darüber: Das Formular ist der Zweck dieses Dialogs, und der Knopf, der die Seite verlässt, gehört hinter den, der es nicht tut.
Regeln für das Passwort stehen nirgends darin. Der Identitätsdienst setzt seine eigene Mindestanforderung durch, diese Anwendung kennt sie nicht, und eine Liste von Anforderungen, die dem Server widerspricht, ist schlechter als keine Liste: Sie sagt Ihnen, ein Passwort sei in Ordnung, und weist es dann ab. Sie sehen stattdessen, was der Dienst tatsächlich gesagt hat.
Woher die Sitzung kommt
Die Identität gehört Neon Auth und nicht uns, Google eingeschlossen — das ist dessen Anbieter, keine zweite Anbindung hier. Der Dienst liegt auf einem eigenen Hostnamen: Würde die Seite direkt mit ihm sprechen, wäre sein Sitzungs-Cookie für diese Seite ein Drittanbieter-Cookie, und Browser verweigern solche zunehmend. Alles unter /api/auth/ läuft deshalb über diese Herkunft, und dem Cookie auf dem Rückweg wird das Domain-Attribut genommen. Es gehört dann dieser Seite, ist erstanbieterisch und wird ohne Diskussion mitgeführt.
Bis die Adresse bestätigt ist
Ein unbestätigtes Konto behält zehn Dokumente statt fünfhundert und kann kein Dokument unter einem Link veröffentlichen, den jede Person öffnen kann. Das Teilen mit benannten Adressen geht in beiden Fällen, denn es benennt Menschen und verlangt von jedem eine Anmeldung — es stellt keine Seite ins offene Netz.
Keine der beiden Grenzen ist eine Testphase oder eine Bezahlschranke. Eine Adresse, die niemand nachgewiesen hat, lässt sich nicht wiederherstellen, ihr lässt sich nichts mitteilen, und hundert davon kosten nichts. Zurückgehalten werden deshalb genau die zwei Dinge, auf die es ankommt: Speicher anzusammeln und eine Seite unter unserer Domain ins öffentliche Netz zu stellen. Den Code einzugeben hebt beides bei der nächsten Anfrage auf, nicht erst bei der nächsten Anmeldung. Ein Konto, das über Google kam, ist ohnehin bestätigt — der Anbieter versichert die Adresse, es gab hier also nie etwas zu bestätigen.
Weiter: ein Dokument als Link teilen und aus der Ausgabe eines Assistenten eine Seite machen.