Hoe Registratie en E-mailverificatie Precies Werken

Registreren lijkt één stap: een e-mailadres en wachtwoord invullen en daarna je inbox checken. Achter dat formulier gebeuren echter meerdere dingen in een vaste volgorde, en die volgorde verklaart de meldingen die je onderweg ziet. De bevestigingsmail kan laat binnenkomen, een link kan verlopen zijn, of inloggen wordt geweigerd terwijl je wachtwoord klopt. Elk van die situaties heeft een concrete oorzaak, en geen ervan brengt je account in gevaar.

Je Account en Je Werkruimte Worden Samen Aangemaakt

Zodra het registratieverzoek binnenkomt, controleert de server eerst of het e-mailadres geldig is en of er nog geen account mee bestaat. Daarna wordt je wachtwoord met bcrypt gehasht voordat er iets wordt opgeslagen, zodat het wachtwoord in leesbare vorm nooit in de database komt. Vervolgens worden binnen één databasetransactie drie records geschreven: je gebruikersrecord, een werkruimte met de naam "Personal Workspace" waarvan jij de eigenaar bent, en een lidmaatschapsregel die jou admin van die werkruimte maakt.

Die transactie is het belangrijkste. Óf alle drie de records bestaan, óf geen van alle. Je kunt dus niet eindigen met een account zonder werkruimte of een werkruimte zonder eigenaar, want als er halverwege iets misgaat, wordt alles teruggedraaid. Daarom heeft alles (facturen, klanten, rapporten) al een plek zodra je het dashboard voor het eerst opent. Je hoeft nooit eerst een werkruimte in te richten voordat je aan de slag kunt.

De Verificatiemail Gaat Pas Weg Als het Account Bestaat

De verificatiemail wordt pas verstuurd nadat de transactie is afgerond. De link bevat een willekeurig token van 32 bytes, speciaal voor jouw account aangemaakt en opgeslagen samen met het tijdstip van verzending. Is de mailserver traag of even onbereikbaar, dan slaagt de registratie toch. Het account wordt aangemaakt en je ziet de melding om je e-mail te controleren. Een probleem met de bezorging maakt je registratie dus niet ongedaan. Je moet de mail hooguit opnieuw aanvragen.

Waarom de Link 24 Uur Geldig Is, en Wat Er Daarna Gebeurt

Als je op de link klikt, zoekt de server het token op en vergelijkt het verzendtijdstip met de huidige tijd. Zijn er minder dan 24 uur verstreken, dan wordt je account als geverifieerd gemarkeerd, wordt het verificatietijdstip vastgelegd en wordt het token gewist, zodat dezelfde link niet nog eens kan worden gebruikt.

Zijn er meer dan 24 uur verstreken en is je account nog niet geverifieerd, dan krijg je niet zomaar een foutmelding. De server maakt een nieuw token aan, zet het verzendtijdstip opnieuw en mailt je meteen een nieuwe link. De pagina vertelt je dan dat de oude link verlopen is en dat er een nieuwe in je inbox staat. Een oude verificatiemail herstelt zichzelf dus: erop klikken is genoeg om een werkende link te krijgen.

Daarnaast is er een aparte actie "verificatie opnieuw versturen" voor als de eerste mail nooit aankomt. Ook die maakt een nieuw token aan, dat het oude vervangt. Vraag je meerdere mails aan, dan werkt alleen de meest recente link.

Twee Keer op een Link Klikken Is Geen Probleem

Mensen klikken vaak twee keer op een verificatielink, bijvoorbeeld een keer op hun telefoon en een keer op hun laptop. Bij de tweede klik vindt de server geen bijpassend token, omdat het bij de eerste klik is gewist. In plaats van alleen "ongeldig token" te tonen, controleert de server ook het e-mailadres dat in de link staat. Is dat account al geverifieerd, dan krijg je dat te horen en word je doorgestuurd naar inloggen. Hetzelfde geldt als je een nieuwe mail aanvraagt voor een account dat al geverifieerd is: je krijgt te horen dat de verificatie al rond is, en er wordt geen nieuwe mail verstuurd.

Waarom Inloggen op Verificatie Wacht

Als je probeert in te loggen voordat je geverifieerd bent, controleert de server eerst je e-mailadres en wachtwoord en kijkt pas daarna naar je verificatiestatus. Een verkeerd wachtwoord geeft altijd dezelfde algemene melding "ongeldige inloggegevens". "Verifieer eerst je e-mailadres" zie je pas nadat het wachtwoord heeft bewezen dat het account van jou is. Door deze volgorde kan de verificatiemelding niet worden gebruikt om uit te zoeken of een adres een half afgerond account heeft, want iemand zonder het wachtwoord komt nooit zo ver.

Verificatie is belangrijk omdat facturen, betalingsherinneringen, uitnodigingen voor werkruimtes en meldingen over opmerkingen naar een geverifieerd adres gaan. Door het meteen te bevestigen, weet je zeker dat die berichten aankomen.

Kort Samengevat

Bij registratie worden je account, een persoonlijke werkruimte en je admin-lidmaatschap in één transactie aangemaakt, waarna je een verificatielink krijgt die 24 uur werkt. Een verlopen link stuurt automatisch een vervanger, een link die twee keer wordt aangeklikt meldt dat je al geverifieerd bent, en inloggen vraagt pas om verificatie nadat je wachtwoord is gecontroleerd. Lijkt er iets vast te zitten, klik dan op de nieuwste link in je inbox, of vraag een nieuwe mail aan en gebruik die.