Certyfikat wart tyle, ile podpis pod nim

Certyfikat autorstwa mówi jedno zdanie: to moja praca. Całą jego wartość niesie to, kto je wypowiada. Anonimowe konto oświadczające „to moje" nie znaczy prawie nic, bo założenie kolejnego zajmuje minutę — więc podpisanie się pod cudzym rysunkiem nie kosztowałoby nikogo nic. Dlatego certyfikaty wystawiają wyłącznie konta z potwierdzoną tożsamością.

To wymóg, który łatwo odczytać jako przeszkodę wymyśloną przez platformę. Jest odwrotnie: chroni prace, które już tu są. Ma też drugi skutek, mniej widoczny. Zbanowanie anonimowego konta kosztuje sprawcę jeden adres e-mail i wraca on następnego dnia. Zbanowanie konta powiązanego z potwierdzoną tożsamością zamyka drogę powrotu pod nową nazwą.

Droga, która obiecywała za dużo

Do wczoraj dla krajów poza zasięgiem dostawców płatności zostawał przelew weryfikacyjny: złotówka z rachunku na własne nazwisko, bo bank przekazuje nazwisko razem z przelewem. Uzasadnienie brzmiało: działa wszędzie.

Nie działało. Przelew międzynarodowy kosztuje wielokrotnie więcej niż sama opłata, więc nikt z drugiego końca świata by go nie wysłał. Ktoś musiał też ręcznie porównywać każdą wpłatę z wyciągiem bankowym — przy kilku dziennie to minuty, przy stu etat. A bank przy przelewie nie podaje daty urodzenia, więc tak zweryfikowane konto nie mogło ręczyć za czyjeś inne.

Ta metoda odeszła w całości. Nie została wyłączona „na wszelki wypadek", bo uśpiona kolejka ręcznej pracy to coś, co ktoś kiedyś włączy, nie wiedząc, dlaczego jej zaniechano.

Skan dokumentu

W jej miejsce weszło potwierdzanie tożsamości dokumentem. Fotografujesz dokument i twarz, odpowiedź przychodzi zwykle w kilkanaście sekund. Obsługiwanych jest ponad sto krajów — w tym dokładnie te, których poprzednia droga miała dosięgnąć, a nie sięgała.

Zdjęcia dokumentu nie trafiają na Moonlight. Robi to firma, która zajmuje się wyłącznie weryfikacją; u nas zostaje informacja, że weryfikacja się odbyła, jaką metodą i kiedy. Jest to opisane w polityce prywatności razem z tym, jak zażądać usunięcia tych danych.

Dwa poziomy, bo dwie różne rzeczy

Sprawdzenie tożsamości i sprawdzenie wieku to nie to samo, a różnica ma konkretne skutki. Przelew potwierdzał, kim jesteś. Dokument potwierdza dodatkowo datę urodzenia.

Dopiero to drugie pozwala wziąć odpowiedzialność za czyjeś konto — bo poręczyć za kogoś może osoba pełnoletnia, a przelew o wieku nie mówi nic. Wcześniej trzeba było tę różnicę wyprowadzać z dwóch osobnych ustawień. Teraz poziom jest zapisany wprost i widoczny w ustawieniach konta razem z wyjaśnieniem, co z niego wynika.

Rozważone i odrzucone

Przy płatnościach widać nazwisko wpisane przez płatnika i kusiło, żeby wykorzystać je jako potwierdzenie. Sprawdzenie dokumentacji zamknęło temat: bank przy autoryzacji karty weryfikuje kod bezpieczeństwa i adres, nigdy nazwiska. Można zapłacić cudzą kartą i wpisać własne dane. Weryfikacja oparta na tym polu wyglądałaby na weryfikację, nie będąc nią — a to gorsze niż jej brak, bo daje fałszywe poczucie, że coś zostało sprawdzone.

Kiedy automat się myli

Dokument ocenia mechanizm automatyczny, a odmowa odbiera prawo do certyfikowania własnej twórczości. Zdjęcie z odblaskiem, obcięty róg, dokument zapisany alfabetem, którego system nie odczytuje — powodów bywa wiele i żaden z nich nie świadczy o nieuczciwości.

Od takiej odmowy przysługuje odwołanie i rozpatruje je człowiek. Jeśli uzna, że dokument jest w porządku, konto zostaje zweryfikowane ręcznie. Bez potwierdzenia wieku, bo przy takim sprawdzeniu nikt daty urodzenia nie weryfikował — i udawanie inaczej dałoby po cichu prawo do ręczenia za innych.

Nieudana próba nie kosztuje nic. Opłata schodzi dopiero wtedy, gdy weryfikacja się powiedzie, a jej wysokość widać zanim cokolwiek zaczniesz.

Co jeszcze się zmieniło po drodze

Przy okazji wyszło kilka rzeczy, które wyglądały na działające. Przełącznik metod weryfikacji w panelu nie wpływał na to, co widzą użytkownicy — wyłączona droga nadal się wyświetlała. Przycisk „Zweryfikuj" nie miał podpiętej obsługi, więc kliknięcie nie robiło nic. A po odrzuceniu dokumentu strona pokazywała „trwa weryfikacja" bez końca, każąc czekać na odpowiedź, która już przyszła.

Wymóg weryfikacji przy certyfikatach graficznych istniał od dawna, ale nic go nie pilnowało. Teraz sprawdzenie obejmuje wszystkie drogi wystawiania certyfikatu i wykryje nową, gdyby kiedyś ominęła ten warunek.