Accedere con un indirizzo email
Google era l’unica porta d’ingresso. Ora c’è una finestra di dialogo con accesso, registrazione, reimpostazione della password e un codice usa e getta, e un account con indirizzo non confermato viene trattenuto: nessuna pubblicazione tramite link e dieci documenti invece di cinquecento, finché l’indirizzo non è confermato.
Affidare a un terzo un rapporto in più solo per tenere un file di testo è chiedere parecchio, e per le prime settimane era l’unica cosa offerta. Ora accanto al pulsante di Google c’è un modulo. Se l’indirizzo è lo stesso, l’account è lo stesso.
Una finestra di dialogo, non una pagina
Accedere, registrarsi, chiedere un link di reimpostazione e inserire il codice di conferma sono quattro viste di un unico dialogo, sopra a quello che stavi già facendo. Chi arriva qui di solito sta convertendo qualcosa, e una navigazione perde il documento aperto; cambiare idea fra «accedi» e «registrati» non costa nulla per la stessa ragione. Google sta sotto il modulo e non sopra: il modulo è il motivo per cui il dialogo esiste, e il pulsante che lascia la pagina viene dopo quello che non la lascia.
Non c’è scritta da nessuna parte una regola sulla password. Il servizio di identità impone il proprio minimo, questa applicazione non sa quale sia, e un elenco di requisiti in disaccordo con il server è peggio di nessun elenco: ti dice che una password va bene e poi la rifiuta. Vedi invece quello che il servizio ha detto davvero.
Da dove arriva la sessione
L’identità è di Neon Auth e non nostra, Google compreso: quello è il suo fornitore, non una seconda integrazione qui. Il servizio vive su un nome host proprio, perciò lasciare che la pagina gli parlasse direttamente renderebbe il suo cookie di sessione un cookie di terze parti per questo sito, e i browser si rifiutano sempre più di portarli. Tutto quello che sta sotto /api/auth/ passa invece attraverso questa origine, e al cookie di ritorno viene tolto l’attributo Domain. A quel punto appartiene a questo sito, di prima parte, e viene portato senza discussioni.
Finché l’indirizzo non è confermato
Un account non confermato tiene dieci documenti invece di cinquecento e non può pubblicare un documento su un link che chiunque possa aprire. La condivisione con indirizzi indicati funziona in entrambi i casi, perché nomina delle persone e chiede a ciascuna di accedere: non mette nessuna pagina sul web aperto.
Nessuno dei due limiti è una prova o un muro a pagamento. Un indirizzo che nessuno ha dimostrato non si può recuperare, non si può avvisare di nulla e non costa niente farne cento, quindi le due cose trattenute sono le due che contano: accumulare spazio e mettere una pagina sull’internet pubblico sotto il nostro dominio. Inserire il codice le toglie entrambe già alla richiesta successiva, non al prossimo accesso. Un account arrivato tramite Google è già confermato: il fornitore attesta l’indirizzo, quindi qui non c’è mai stato nulla da confermare.
Da leggere: condividere un documento con un link e trasformare l’output di un assistente in una pagina.