Ligação de Conta Bidirecional Verificada através de uma Plataforma de Identidade de Nove Marcas

Essa flexibilidade criou um problema de identidade. Quando um cliente iniciava sessão com uma nova identidade Apple ou Google cujo email já pertencia a uma conta existente, a plataforma tinha de decidir o que fazer. Ligar os dois automaticamente apenas numa correspondência de email seria inseguro: um endereço de email correspondente sugere uma relação, mas não prova que a pessoa que faz login controla realmente essa caixa de entrada. A plataforma precisava de uma forma de ligar identidades compatíveis da Apple e Google a uma única conta partilhada sem nunca conceder acesso a uma correspondência de email por si só, e fazê-lo de forma consistente em todas as nove marcas, incluindo os casos embaraçosos: endereços privados de retransmissão da Apple, contas com palavra-passe, logins arriscados e falhas de operadores.

As limitações eram concretas. A ligação tinha de ser bidirecional e independente da ordem: primeiro a Google, depois a Apple, ou a Apple primeiro e depois a Google, tinham de chegar à mesma conta partilhada. O Esconder o Meu Email da Apple teve de ser tratado separadamente, porque um endereço de retransmissão privada que não corresponde ao email real da conta do cliente não pode estar silenciosamente ligado a essa conta. A verificação teve de reutilizar o mesmo mecanismo de desafio de código já confiado para autenticação de alto risco, pelo que a ligação herdou controlos comprovados em vez de inventar novos. O risco tinha de modular o atrito: os registos de baixo risco deveriam manter-se sem atrito, enquanto o risco médio, elevado e indeterminado exigia um OTP. As falhas repetidas tinham de ser contidas através de uma política de bloqueio aplicada ao nível da conta, em todas as marcas, não por marca. E as falhas dos fornecedores tinham de ser seguras, nunca deixando um cliente com uma conta parcial ou duplicada.

O mesmo caminho verificado cobria ambas as direções de ligação. Se um cliente criasse uma conta na Google e depois escolhesse Continuar com a Apple usando o mesmo email partilhado, o sistema detetava a conta existente, enviava um código para o email e ligava a Apple após a verificação bem-sucedida. O inverso, o Partilhar o Meu Email da Apple primeiro e o Google depois, resolveu-se para a mesma conta partilhada através do mesmo desafio. Após a ligação, o cliente podia iniciar sessão com a Apple, com a Google ou com email e palavra-passe onde uma tivesse sido configurada, e ficar na mesma conta.

O Esconder o Meu Email da Apple manteve-se num caminho deliberadamente separado. Quando o endereço de retransmissão privada não correspondia ao email pessoal não divulgado do cliente, as identidades não eram elegíveis para ligação ao mesmo email. Em vez de ligar o relé a uma conta não relacionada, a plataforma mostrou uma explicação de acesso limitado e criou uma conta de email de retransmissão separada. Para além da ligação inicial, a mesma conta tinha o seu próprio ciclo de vida: um cliente podia definir uma palavra-passe numa conta social, alterar o email principal (que desvinculava o fornecedor social anterior e exigia reverificação), e cada login que retornava passava por avaliação de risco antes de a sessão ser emitida.

A partir daí, o fluxo ramificou-se para resultados claramente limitados. Uma correspondência de email elegível emitia um código de ligação ao email da conta existente; Após verificação bem-sucedida, o fornecedor era ligado; em caso de falha, a tentativa era rejeitada e registada. Um email de retransmissão da Apple que não correspondia foi encaminhado para uma explicação de acesso limitado e uma conta de retransmissão separada. Uma vez resolvido para uma conta partilhada entre marcas, o estado da conta era verificado: uma conta bloqueada era mostrada como bloqueada, uma conta ativa era classificada numa categoria de risco. Baixo risco emitia uma sessão autenticada diretamente; o risco médio, elevado e indeterminado enviou um OTP de autenticação, e repetidos desafios falhados, até um limiar fixo, bloquearam a conta partilhada em todas as nove marcas. A própria conta expôs a configuração de palavras-passe e alterações de email, onde alterar o email principal desvinculou o fornecedor social anterior e exigiu uma nova verificação do fornecedor. Falhas no serviço do fornecedor não criaram um estado parcial: devolveram um erro seguro e uma nova tentativa que foi encaminhada de volta para o mesmo orquestrador, pelo que uma chamada falhada da Apple ou Google nunca produziu uma conta meio ligada ou duplicada. O limite de ligação combinava três verificações: uma resposta validada do fornecedor, uma correspondência compatível com o mesmo email e um desafio de código de email bem-sucedido, e as submissões falhadas de código passavam pela mesma política de controlo e bloqueio de desafios que os OTPs de risco.