Ну и продолжаю утверждать, что это вполне рядовое продуктовое решение, которое инженер-проектировщик проекта принимает исходя из кучи факторов в контексте проекта (начиная от "есть ли SSO, которому мы доверяем и который можно тупо подключить" до "насколько нас возьмут за жопу по GDPR, если у нас будет какая-то база пользователей, и она утечёт")