Al ver un Usuario en la página admin/users, los campos Correo Electrónico Principal y Correo Electrónico Secundario están ocultos y requieren permisos para ser visualizados:
Sin embargo, el mismo correo electrónico se muestra sin protección al utilizar SSO más abajo en la página:
Esperado: El correo electrónico de SSO debe estar protegido como los correos electrónicos Principal y Secundario.
Realidad: El correo electrónico de SSO no está protegido y es visible para los moderadores, incluso cuando la configuración del sitio prohíbe mostrar correos electrónicos a los moderadores.
Un comentario adicional: mencioné el correo electrónico, pero en realidad incluso el ID Externo puede ser información sensible.