Вход через Google: что вы на самом деле отдаёте

В подборке за неделю попалась статья про вход через Google — и она заставила пересмотреть, что на самом деле происходит, когда пользователь нажимает кнопку «Войти». Не просто удобно — это передача контроля.

О чём речь и почему я считаю это важным

Речь не о том, что вход через Google — плохо. Это удобно. Но за этой удобностью скрывается неочевидная передача прав. Их не видно, не понятно, как они работают. А потом — у пользователя пропадает доступ к аккаунту, хотя он ничего не делал. Это не сбой, это последствие выбора. Я считаю, что это важно, потому что владелец сайта не может контролировать, что происходит с данными пользователей, если не знает, какие права он запрашивает.

Сейчас многие сайты ставят эту кнопку, как данность. Но если пользователь теряет доступ к почте — он теряет всё. И не потому что сайт сломался, а потому что его аккаунт завис от одного провайдера. Это риск, который можно предотвратить.

Как это устроено — что тут вообще происходит

Когда пользователь нажимает «Войти через Google», сайт отправляет его на страницу провайдера с запросом. В адресной строке — параметр scope, который показывает, какие данные запрашиваются. Обычно это email, имя, аватар. Но бывает и больше: доступ к контактам, файлам, календарю. И это не случайно — сайт сам определяет, что нужно.

Ещё один параметр — access_type=offline. Он означает, что доступ будет работать даже после выхода из аккаунта. То есть сайт может обращаться к данным пользователя годами. И если сайт исчезнет — доступ останется. Кто-то другой его получит. Это не утечка. Это умышленная передача прав.

Как понять, что это касается вашего сайта

Проверяю это первым делом, когда вижу кнопку входа через Google. Запускаю тестовый вход, смотрю адрес в строке. Ищу scope. Если там что-то сверх email, profile, openid — это повод задуматься. Особенно если сайт — магазин, блог, сервис, где не нужно знать контакты.

Если пользователь не может задать пароль после входа через провайдера — это красный флаг. Он теряет контроль. Проверяю у клиентов, где такая настройка. Уже нашёл три случая, где пользователи не могли вернуться к аккаунту — и не потому что сайт упал, а потому что доступ заблокирован.

Что с этим делать

Сначала — пересмотреть список запрашиваемых прав. Оставить только то, что реально нужно: email, profile, openid. Ничего больше. Если сайт не работает без доступа к контактам — он работает не так, как должен.

Второе — добавить возможность задать пароль. Даже если пользователь вошёл через Google, ему должен быть доступ к созданию собственного пароля. Это не лишнее — это защита. Если провайдер уйдёт, аккаунт не пропадёт. Уже начал делать так у своих клиентов.

Что здесь даёт поддержка

На нашей поддержке это закрывается заранее. Проверяем, какие права запрашиваются, и убираем лишнее. Если у сайта нет возможности задать пароль — предлагаем добавить. Это не техническая сложность, а архитектурное решение. И оно работает.

Главный итог не в том, что мы починим, а в том, что вы перестанете думать о сайте. Потому что вы знаете: всё, что касается безопасности, — это часть системы, а не аврал. Мы работаем с 2002 года, более 100 клиентов по всему миру. Приглашаю на бесплатный аудит сайта — проверим, что вы действительно контролируете.