Η Google τελειώνει με τους κωδικούς OTP σε εφαρμογές Android

Νέο σύστημα της Google για Android εξαλείφει τους OTP και τα magic links μέσω Credential Manager API σε συσκευές με Android 9 και νεότερες.

Η Google παρουσίασε ένα νέο σύστημα πιστοποιημένων στοιχείων email για το Android, που εξαλείφει την ανάγκη για κωδικούς OTP και magic links κατά τη σύνδεση ή την εγγραφή σε εφαρμογές. Το νέο χαρακτηριστικό λειτουργεί μέσω του Credential Manager API και υπόσχεται άμεση και ενιαία εμπειρία, χωρίς να αναγκάζει τον χρήστη να περνά από τα εισερχόμενα του email του.

Γιατί μας ταλαιπωρούν οι OTP

Η καθιερωμένη διαδικασία επιβεβαίωσης email έχει γίνει από τα πιο κουραστικά κομμάτια της χρήσης ενός κινητού. Ο χρήστης αφήνει την εφαρμογή, ανοίγει το email, ψάχνει τον εξαψήφιο κωδικό, τον αντιγράφει και επιστρέφει. Όταν αντί για OTP στέλνεται magic link, τα πράγματα μπορεί να γίνουν ακόμη χειρότερα, αφού το link πολλές φορές αποτυγχάνει να ανοίξει σωστά όταν ο προεπιλεγμένος browser δεν είναι το Chrome.

Η Google αναγνωρίζει τρία βασικά προβλήματα σε αυτή τη διαδικασία: την εναλλαγή μεταξύ εφαρμογών, τις καθυστερήσεις στην παράδοση των email ή την πτώση τους στα spam, και τη γενικότερη ταλαιπωρία που κάνει αρκετούς χρήστες να εγκαταλείπουν πριν ολοκληρώσουν την εγγραφή.

Πώς λειτουργεί το νέο σύστημα

Αντί για κωδικό, η Google εκδίδει απευθείας στη συσκευή Android ένα verified email credential, το οποίο συνδέεται με τον λογαριασμό Google του χρήστη. Όταν ο χρήστης αγγίξει ένα πεδίο email ή πατήσει «Εγγραφή» ή «Ανάκτηση λογαριασμού», εμφανίζεται στο κάτω μέρος της οθόνης ένα native παράθυρο του Android που δείχνει ακριβώς ποιες πληροφορίες ζητά η εφαρμογή. Ο χρήστης πατά «Agree and continue» και η εφαρμογή παραλαμβάνει αμέσως το επιβεβαιωμένο email.

Η υλοποίηση της Google βασίζεται στο Digital Credential API του W3C, κάτι που σημαίνει ότι στο μέλλον και άλλοι πάροχοι ταυτότητας θα μπορούν να εκδίδουν αντίστοιχα credentials για εφαρμογές Android, όχι μόνο η Google.

Τρεις χρήσεις στην πράξη

Το νέο σύστημα δεν περιορίζεται μόνο στην εγγραφή. Σύμφωνα με το Android Developers Blog, αξιοποιείται σε τρία σενάρια:

Δημιουργία λογαριασμού: Άμεση λήψη verified email τη στιγμή που ο χρήστης πατά το «Sign up», ιδανικά σε συνδυασμό με δημιουργία passkey για να μην χρειαστεί ποτέ ξανά χειροκίνητη σύνδεση.
Ανάκτηση λογαριασμού: Αντί ο χρήστης να ψάχνει τον κωδικό ανάκτησης στα spam, το verified email που υπάρχει ήδη στη συσκευή χρησιμοποιείται για ασφαλή επαναφορά πρόσβασης.
Επανεπιβεβαίωση σε ευαίσθητες ενέργειες: Όταν ο χρήστης αλλάζει ρυθμίσεις ή ενημερώνει στοιχεία προφίλ, η εφαρμογή μπορεί να ζητήσει γρήγορη πιστοποίηση μέσω του verified email, χωρίς να στείλει OTP.

Πέρα από το email, οι εφαρμογές μπορούν να ζητήσουν και το όνομα, το επώνυμο, το πλήρες όνομα και τη φωτογραφία προφίλ του χρήστη. Από όλα αυτά, μόνο το email είναι επιβεβαιωμένο από την Google.

Σε τι διαφέρει από το Sign in with Google

Το verified email δεν αντικαθιστά το γνωστό κουμπί «Sign in with Google». Οι δύο λειτουργίες εξυπηρετούν διαφορετικές ανάγκες. Το «Sign in with Google» χρησιμοποιείται όταν ο χρήστης θέλει ο λογαριασμός του στην εφαρμογή να είναι συνδεδεμένος με τον λογαριασμό Google του, σε μια ενιαία ταυτοποίηση. Το verified email χρησιμοποιείται όταν ο χρήστης προτιμά παραδοσιακό λογαριασμό με username και κωδικό ή passkey, αλλά χωρίς τον κόπο της επαλήθευσης μέσω OTP.

Συμβατότητα και ποιοι λογαριασμοί υποστηρίζονται

Η επιβεβαίωση email μέσω Credential Manager δουλεύει μόνο σε προσωπικούς λογαριασμούς Google και αποκλείει τους λογαριασμούς Workspace καθώς και τους εποπτευόμενους (supervised) λογαριασμούς. Ως προς τη συσκευή, απαιτείται Android 9 ή νεότερο.

Ένας προσωπικός λογαριασμός Google δεν χρειάζεται απαραίτητα να έχει διεύθυνση @gmail.com. Μπορεί να έχει δημιουργηθεί και με email εξωτερικού παρόχου, αλλά ο τρόπος που η Google πιστοποιεί τις δύο κατηγορίες είναι διαφορετικός:

Για λογαριασμούς @gmail.com: Η Google είναι ο επίσημος κάτοχος και μπορεί να επιβεβαιώσει άμεσα και μόνιμα ότι το email ανήκει στον χρήστη.

Για λογαριασμούς με email εκτός @gmail.com: Η Google επιβεβαιώνει το email μόνο κατά τη δημιουργία του λογαριασμού. Επειδή η κυριότητα μιας εξωτερικής διεύθυνσης μπορεί να αλλάξει με τον καιρό, η Google συνιστά στους developers να προσθέτουν επιπλέον βήμα επαλήθευσης, για παράδειγμα έναν OTP, ώστε να βεβαιώνονται ότι ο χρήστης έχει ακόμα πρόσβαση στο λογαριασμό email του.

Η άποψή μας στο Techblog

Η κατάργηση των κωδικών OTP είναι μία από τις μικρές αλλαγές που αλλάζουν ουσιαστικά τη σχέση του χρήστη με τις εφαρμογές. Για εμάς σημαίνει λιγότερη σπατάλη χρόνου στα εισερχόμενα και, κυρίως, λιγότερες αποτυχημένες προσπάθειες σύνδεσης όταν το email καθυστερεί ή χάνεται στα spam.