Изменить требование привязки почты для создания API ключа

Не смотря на из всех щелей летящий положительный фидбек по недавней гениальной идее обязать привязать почту “для безопасности” при генерации ключа, хотелось бы всё же получить объяснение от разработчика, ответственного за эту идею, в чем конкретно заключается “безопасность” и какой конкретно кейс он отрабатывал при создании подобной схемы.

Абсурд заключается в том, что данная “защита” отрабатывает только 1 конкретный случай - когда пользователь сам зачем то впервые генерирует ключ, привязывает почту, а уже затем через какое то время злоумышленник генерирует ключ повторно и пользователь видит уведомление о новой генерации ключа, ПРОВЕРЯЯ ПОЧТУ.

Последнее выделено особенно, поскольку, не смотря на уже крайнюю редкую ситуацию саму по себе, разработчик, судя по всему, вообще не знает свою аудиторию. Дети-лудокруты никогда в жизни не проверяют свои почты. Зачем им это нужно? Им не придут рабочие вопросы, не придут уведомления от каких-либо важных сервисов с информацией о состоянии их продуктов. Они заходят на почту только когда нужно сбросить забытый пароль от игрового клиента.

Таким образом, для отработки мифической одной конкретной ситуации 1 к 1 000 000, новая “фича” создает солидную нагрузку на психику для владельцев ферм. Вот я использую панель для продажи стим → маркет . У фермера, условно, больше 150 акков и то и дело для масштабирования приходится вводить новые. Теперь нужно под каждый акк регать почту чтобы просто сделать ключ. Ради чего? Разработчик думал что кто то потом будет отслеживать их? Или если будет риск компрометации старых ключей и потребуется сгенерировать новые на всю ферму? Лицо представили пацана которому потребуется делать 150 почт для 150 аккаунтов для “безопасности”? Он скорее плюнет на эту идею даже учитывая риск компрометации старых ключей.

И еще раз повторю абсурд “защиты”:

Если пользователь ввёл данные от стим в фейк форму, на его акк заходит скамер и генерирует ключ через временную почту. В чём защита?
Если почта уже была привязана у юзера - скамер просто генерирует ключ. В чём особенность “новой защиты”?

Она буквально отрабатывает один единственный случай, когда пользователь сам зачем то генерирует ключ, вводит почту именно для этого и уже затем получает уведомление при генерации нового ключа скамером. Только вот если до этого пользователь сам генерировал ключ, то он, вероятно, понимает зачем он нужен. И, скорее всего, понимает как отличить фейк форму по фейк ссылке от настоящей. Зачем защищать именно этот пласт пользователей, которые не являются самыми “уязвимыми” через подобное неудобство - непонятно.

Предложение, если разработчик с маркета так хочет заботиться о каждом пользователе как о маленьком ребёнке:

просить\предлагать привязать почту при первом входе или первой продаже
хотя, кажется, это и так предлагается при первом вхоже. Вообщем проблема в том, что запросом привязки почты при генерации ключа под мнимую “защиту” попадает та группа пользователей, которым защита как бы и не нужна. При этом самые уязвимые которые не проверяют свою почту, понятия не имеют что такое апи и которые шарятся по рандомным сайтам, рассчитывая получить “халявный нож”, никаким образом не получают защиту от “новой защиты”
Идея была просто мимо кассы еще на бумаге. Но кто то же её одобрил)