Wie Registrierung und E-Mail-Verifizierung Tatsächlich Funktionieren

Die Registrierung wirkt wie ein einziger Schritt: E-Mail-Adresse und Passwort eingeben, dann das Postfach prüfen. Hinter diesem Formular passieren jedoch mehrere Dinge in einer festen Reihenfolge, und diese Reihenfolge erklärt die Meldungen, die Sie dabei sehen. Die Bestätigungs-E-Mail kann sich verspäten, ein Link kann abgelaufen sein, oder die Anmeldung wird abgelehnt, obwohl Ihr Passwort stimmt. Jede dieser Situationen hat eine konkrete Ursache, und keine davon gefährdet Ihr Konto.

Konto und Arbeitsbereich Werden Gemeinsam Angelegt

Sobald die Registrierungsanfrage eingeht, prüft der Server zuerst, ob die E-Mail-Adresse gültig ist und ob noch kein Konto sie verwendet. Danach wird Ihr Passwort mit bcrypt gehasht, bevor irgendetwas gespeichert wird, sodass das Passwort im Klartext nie in die Datenbank gelangt. Anschließend werden innerhalb einer einzigen Datenbanktransaktion drei Datensätze geschrieben: Ihr Benutzerdatensatz, ein Arbeitsbereich namens "Personal Workspace", der Ihnen gehört, und ein Mitgliedschaftseintrag, der Sie zum Admin dieses Arbeitsbereichs macht.

Entscheidend ist die Transaktion. Entweder existieren alle drei Datensätze oder keiner davon. Sie können also nicht mit einem Konto ohne Arbeitsbereich oder einem Arbeitsbereich ohne Inhaber enden, denn ein Fehler auf halbem Weg macht alles rückgängig. Deshalb hat beim ersten Öffnen des Dashboards bereits alles (Rechnungen, Kunden, Berichte) seinen Platz. Sie müssen nie erst einen Arbeitsbereich einrichten, bevor Sie loslegen können.

Die Bestätigungs-E-Mail Kommt Erst, Wenn das Konto Existiert

Die Bestätigungs-E-Mail wird erst verschickt, nachdem die Transaktion abgeschlossen ist. Der Link darin enthält ein zufälliges 32-Byte-Token, das für Ihr Konto neu erzeugt und zusammen mit dem Versandzeitpunkt gespeichert wird. Ist der Mailserver langsam oder kurz nicht erreichbar, ist die Registrierung trotzdem erfolgreich. Das Konto wird angelegt, und Sie sehen die Meldung, dass Sie Ihre E-Mails prüfen sollen. Ein Zustellungsproblem macht Ihre Registrierung also nicht zunichte. Sie müssen die E-Mail höchstens erneut anfordern.

Warum der Link 24 Stunden Gilt und Was Danach Passiert

Wenn Sie auf den Link klicken, sucht der Server das Token und vergleicht den Versandzeitpunkt mit der aktuellen Zeit. Sind weniger als 24 Stunden vergangen, wird Ihr Konto als verifiziert markiert, der Zeitpunkt der Verifizierung gespeichert und das Token gelöscht, damit derselbe Link nicht noch einmal verwendet werden kann.

Sind mehr als 24 Stunden vergangen und ist Ihr Konto noch nicht verifiziert, bekommen Sie nicht einfach eine Fehlermeldung. Der Server erzeugt ein neues Token, setzt den Versandzeitpunkt neu und schickt Ihnen sofort einen neuen Link. Die Seite teilt Ihnen dann mit, dass der alte Link abgelaufen ist und ein neuer in Ihrem Postfach liegt. Eine alte Bestätigungs-E-Mail behebt sich also selbst: Ein Klick darauf genügt, um einen funktionierenden Link zu bekommen.

Zusätzlich gibt es eine eigene Aktion "Bestätigung erneut senden" für den Fall, dass die erste E-Mail nie ankommt. Auch sie erzeugt ein neues Token, das das alte ersetzt. Wenn Sie mehrere E-Mails anfordern, funktioniert also nur der neueste Link.

Ein Doppelter Klick auf den Link Ist Kein Problem

Viele klicken einen Bestätigungslink zweimal an, etwa einmal auf dem Handy und einmal auf dem Laptop. Beim zweiten Klick findet der Server kein passendes Token, weil es beim ersten Klick gelöscht wurde. Statt nur "ungültiges Token" anzuzeigen, prüft der Server zusätzlich die E-Mail-Adresse, die im Link steht. Ist dieses Konto bereits verifiziert, wird Ihnen das mitgeteilt und Sie werden zur Anmeldung geleitet. Dasselbe gilt, wenn Sie für ein bereits verifiziertes Konto eine neue E-Mail anfordern: Sie erfahren, dass die Verifizierung abgeschlossen ist, und es wird keine neue E-Mail verschickt.

Warum die Anmeldung auf die Verifizierung Wartet

Wenn Sie sich vor der Verifizierung anmelden möchten, prüft der Server zuerst E-Mail-Adresse und Passwort und erst danach Ihren Verifizierungsstatus. Ein falsches Passwort führt immer zu derselben allgemeinen Meldung "ungültige Anmeldedaten". "Bitte bestätigen Sie Ihre E-Mail-Adresse" sehen Sie erst, nachdem das Passwort bewiesen hat, dass das Konto Ihnen gehört. Durch diese Reihenfolge lässt sich mit der Verifizierungsmeldung nicht herausfinden, ob zu einer Adresse ein halb fertiges Konto existiert, denn wer das Passwort nicht kennt, kommt nie so weit.

Die Verifizierung ist wichtig, weil Rechnungen, Zahlungserinnerungen, Einladungen in Arbeitsbereiche und Benachrichtigungen über Kommentare an eine verifizierte Adresse gehen. Wenn Sie sie gleich zu Beginn bestätigen, kommen diese Nachrichten bei Ihnen an.

Kurz Zusammengefasst

Bei der Registrierung werden Ihr Konto, ein persönlicher Arbeitsbereich und Ihre Admin-Mitgliedschaft in einer Transaktion angelegt. Danach erhalten Sie einen Bestätigungslink, der 24 Stunden funktioniert. Ein abgelaufener Link schickt automatisch einen Ersatz, ein doppelt angeklickter Link teilt Ihnen mit, dass Sie bereits verifiziert sind, und die Anmeldung fragt erst nach der Verifizierung, wenn Ihr Passwort geprüft wurde. Wenn etwas zu hängen scheint, klicken Sie auf den neuesten Link in Ihrem Postfach, oder fordern Sie eine neue E-Mail an und verwenden Sie diese.