Por que os logins com link mágico falham?

A falha que parece erro do usuário

O sintoma é sempre o mesmo e sempre confunde. Alguém pede um link de acesso, o link chega, a pessoa clica e o seu app diz que ele é inválido ou já foi usado. Nada nos seus logs parece quebrado: o e-mail foi aceito, o token foi criado e o token foi verificado. Foi verificado — só que não pela pessoa para quem você enviou. Entre o seu envio e o clique dela existe uma fila de máquinas lendo aquela mensagem: o produto de segurança de e-mail do destinatário reescrevendo e seguindo links para checá-los, o cliente de e-mail pré-carregando para a prévia aparecer na hora, gateways corporativos detonando URLs em um ambiente isolado e, às vezes, um filtro fazendo o mesmo na entrada.

Isso aconteceu no nosso próprio fluxo de cadastro em produção em agosto de 2026, e vale repetir o formato porque não parecia nada. Um cadastro pediu três links em uma única sessão. Os três foram verificados no servidor entre 16 e 23 segundos após o envio — rápido demais para ser alguém lendo a caixa de entrada — e todo clique humano depois disso foi recusado como link já usado. A pessoa só entrou recomeçando por um login social. Dois hábitos comuns pioram tudo e produzem a mesma linha de log: pede-se o link no celular e abre-se no notebook, e encaminha-se o e-mail de acesso para um colega ou para o próprio segundo endereço. Se o seu desenho assume que a primeira requisição do token vem do navegador da pessoa, os três casos são lidos como ataque quando são o comportamento normal.

Descubra qual é o seu caso

Antes de mudar qualquer coisa, descubra o que realmente gastou o token. O horário entrega o culpado: um scanner ou um pré-carregamento chega poucos segundos depois do envio, enquanto uma pessoa leva dezenas de segundos a minutos. Registre horário, user agent e IP de cada verificação ao lado do horário do envio e leia os dois juntos.

A correção, na ordem que importa

A ordem sustenta tudo, porque dois destes passos são seguros sozinhos e perigosos na sequência errada.

1. Verifique a expiração antes de consumir Um token expirado nunca pode abrir uma sessão, mude o que mudar. Colocar a checagem de expiração primeiro é o que torna o passo seguinte seguro — sem ela, tolerar uma abertura repetida esticaria a vida do link em vez de apenas sobreviver a uma visita a mais.
2. Deixe um link não expirado ser aberto mais de uma vez Aceite um token já verificado que ainda esteja dentro da validade e devolva um sinal dizendo isso, em vez de um erro. Um link deve morrer quando expira, não quando a primeira máquina o toca.
3. Preserve o primeiro horário de verificação Ao aceitar uma abertura repetida, não sobrescreva o horário de consumo original. Ele é o único registro de qual visita realmente venceu, e é a primeira coisa que você vai querer na próxima vez que alguém relatar isso.
4. Encurte a janela em vez de estreitar as aberturas Um link de vida curta que tolera várias visitas é mais seguro na prática do que um de vida longa que morre no primeiro toque. É a vida curta que faz o trabalho de segurança; o uso único sempre foi apenas um substituto dela.
5. Sempre deixe uma segunda porta Ofereça outro jeito de entrar — uma senha, uma passkey ou um login social — e mostre-o na própria tela de erro, não a três cliques dali. O cadastro que perdemos para isso se recuperou por um login social; sem essa porta, teria sumido na soleira.
6. Diga algo útil quando falhar "Link inválido" avisa a pessoa de que ela errou. "Este link expirou — aqui está um novo", com um reenvio de um toque na mesma tela, mantém a pessoa dentro do fluxo em vez de mandá-la para o seu suporte.

A parte que nunca aparece como bug

A falha de login é visível. O estrago na medição não é, e sobrevive ao bug. Se o seu evento de conversão de cadastro dispara na primeira requisição que chega ao endpoint de verificação, sempre que um scanner chegar antes a conversão vai andar em um redirecionamento que navegador nenhum executa. Foi exatamente o que aconteceu conosco: a marca de cadastro recém-criado viajou com a requisição do scanner, então a conversão de cadastro na plataforma de anúncios daquela pessoa nunca foi registrada. Quem der lances sobre esses dados está dando lances sobre um número a que faltam, em silêncio, algumas das conversões mais caras de conquistar.

O hábito que pega isso é chato e confiável: conte a sessão concluída, não o clique no link, e trate o intervalo entre "link pedido" e "sessão criada" como um passo próprio do funil. Se uma fatia real dos pedidos nunca vira sessão, nenhum trabalho de landing page resolve — é falha de mecanismo, não de persuasão. Veja como transformar visitantes do site em cadastros para o passo anterior e a taxa de ativação para o seguinte. Se o e-mail nem chega, a escada de autenticação de domínio em como escrever e-mails frios que não caem no spam vale igualmente para e-mail transacional. E se você ainda decide de onde enviá-lo, Notifuse é uma opção auto-hospedada.