Il nuovo sito di Humble Bundle è arrivato senza l’autenticazione a due fattori. Il negozio digitale noto per i pacchetti di giochi a scopo benefico ha rifatto l’interfaccia, e nella nuova versione l’opzione per attivare la verifica in due passaggi non compare più fra le impostazioni di sicurezza. Lo ha controllato sul proprio account Alicia Haddick su Kotaku, dopo le segnalazioni comparse su Reddit.
Cosa manca nella nuova versione
Pesa più di tutto quello che si può fare senza quella verifica. Chi è già collegato può impostare una password nuova senza digitare quella vecchia. Chi cambia indirizzo di posta non fa partire nessuna verifica verso l’indirizzo precedente, perché l’unica conferma va al nuovo. Kotaku dice di aver provato entrambe le cose, e funzionano. Chi si siede davanti a una sessione aperta può quindi prendersi l’account e chiudere fuori il proprietario.
Un account di Humble Bundle non contiene solo chiavi di gioco. Contiene lo storico degli acquisti, gli indirizzi e, se l’utente le ha salvate, le carte di pagamento. Per questo il consiglio pratico che gira dal 12 novembre, e che è anche quello di Kotaku, è di togliere i dati di pagamento salvati finché la questione non è risolta.
Le altre cose che si sono rotte
Gli utenti segnalano anche errori che impediscono di comprare i pacchetti. La libreria non distingue più fra i giochi già riscattati e i codici ancora da usare, e con un archivio di qualche centinaio di titoli trovare quello che manca diventa un lavoro manuale. Sparita anche la possibilità di restare collegati, quindi si rientra a ogni visita. Diversi commenti raccolti da Kotaku dicono che il nuovo aspetto ricorda quello di altre interfacce costruite con l’aiuto dei modelli linguistici.
Che il sito sia stato costruito così è una lettura di Kotaku e di una parte degli utenti, non un fatto dichiarato dall’azienda: Humble, che appartiene a IGN, non ha risposto alla richiesta di commento. Resta il fatto verificabile: una funzione di sicurezza che c’era prima non c’è più, e le conferme di identità su due operazioni delicate sono state tolte.
Che cos’è l’autenticazione a due fattori
Chiamiamola per quello che è: un secondo controllo dopo la password, cioè un codice che arriva via posta o via messaggio, oppure generato da un’applicazione sul telefono. Serve perché la password, da sola, è un segreto che gira: finisce nelle liste rubate ad altri siti, viene riusata su più servizi, si indovina. Il secondo fattore ferma chi ha solo quella. È il motivo per cui ogni negozio digitale che vende chiavi riscattabili lo offre da anni, Steam compreso con il suo autenticatore sul telefono.
Toglierlo durante un rifacimento del sito è una scelta tecnica che qualcuno ha fatto, non un dettaglio estetico. E le conferme sulle due operazioni delicate, il cambio di password e il cambio di indirizzo, sono la rete che resta quando il secondo fattore non c’è: a Humble, per ora, non c’è nessuna delle due.
Perché conta per chi compra giochi
Humble Bundle vende chiavi riscattabili su altre piattaforme, quindi l’account è il posto dove restano i codici non ancora usati. Un pacchetto comprato tre anni fa e mai riscattato vale quanto i giochi che contiene, e sono soldi già spesi. Ne abbiamo scritto il 4 novembre a proposito dell’ultimo Humble Choice, l’abbonamento mensile che ogni mese aggiunge titoli alla libreria: più l’archivio cresce, più l’account vale.
Vale la pena guardare il contesto. Le piattaforme che vendono giochi stanno usando i modelli generativi per fare prima, e i risultati si vedono. Su Steam la coda di approvazione si è allungata al punto da far rinviare giochi finiti, e Eurogamer ha contato altri due rinvii il 12 novembre. Allo Steam Next Fest di ottobre le demo sono arrivate a 7.164, con 1.054 che dichiaravano contenuti generati. In quei casi il materiale generato era il gioco, qui è il negozio che lo vende.
Cosa può fare chi ha un account
- Togliere i dati di pagamento salvati dal proprio profilo, come consiglia Kotaku, finché le conferme non tornano.
- Cambiare la password usata su Humble se è la stessa di altri servizi, e controllare lo storico degli acquisti.
- Riscattare i codici ancora fermi in libreria: una chiave riscattata sta sulla piattaforma di destinazione, non più sull’account del negozio.
Cosa non si sa
- Quando Humble rimetterà l’autenticazione a due fattori: l’azienda non ha dato una data e non ha risposto a Kotaku.
- Se qualche account è stato preso dopo il cambio di sito: l’azienda non ha comunicato nulla e non risultano segnalazioni verificate.
