SMS OTP використовують банки, інтернет-магазини, служби доставлення, медичні заклади, щоб переконатися, що номер телефону, який вказав користувач, справді належить йому. OTP означає one-time password, тобто одноразовий пароль. Це кілька цифр, які людина отримує в повідомленні. Вони дійсні лише кілька хвилин та потрібні для однієї дії.
Як працює підтвердження через SMS
Для користувача процес займає до хвилини, хоча технічно він складається з п'яти кроків:
-
Людина вводить номер телефону на сайті чи в застосунку.
-
Сервіс надсилає запит провайдеру верифікації через API — програмний інтерфейс, який з'єднує сайт чи застосунок із системою провайдера.
-
Провайдер генерує код і надсилає SMS на вказаний користувачем номер.
-
Користувач вводить отриманий код у форму.
-
Система перевіряє, чи збігається код та чи не минув термін його дії. Якщо все правильно, дія користувача на сайті підтверджується.
Зазвичай SMS приходить за кілька секунд. Повідомлення надходить з назвою компанії замість номера, тому людина одразу бачить, хто відправник, і не переплутає потрібний код з іншими.
Де застосовуються одноразові коди
Переважно SMS OTP підключають у таких сценаріях:
-
реєстрація нового акаунту;
-
вхід в особистий кабінет, зокрема з нового пристрою;
-
підтвердження замовлення або оплати;
-
зміна пароля, контактних даних;
-
підписання договору онлайн;
-
видача посилки чи замовлення отримувачу.
Для бізнесу це спосіб відсіяти ботів і фейкові акаунти. Якщо для реєстрації потрібен реальний номер, масово створювати профілі для зловживань чи спаму стає значно складніше.
Чому саме SMS
SMS приходить на будь-який мобільний телефон, навіть кнопковий. Користувачу не потрібні інтернет, окремий застосунок, спеціальні налаштування для отримання повідомлень. Тому цей канал підходить для широкої аудиторії, включно з людьми старшого віку.
Для бізнесу є ще одна перевага: SMS-верифікацію можна підключити через готовий API без розробки власної інфраструктури. Провайдер бере на себе генерацію кодів, доставлення на номери різних операторів і перевірку правильності введення.
Як зробити SMS-верифікацію іще безпечнішою
Одноразовий код захищає лише тоді, коли процес налаштовано правильно. Базові правила:
-
обмежувати час дії коду кількома хвилинами;
-
блокувати повторні спроби після кількох неправильних введень;
-
обмежувати кількість запитів нового коду з одного номера;
-
нагадувати в тексті SMS, що код не можна нікому повідомляти.
Останній пункт важливий, бо шахраї часто телефонують від імені банку чи служби доставлення і просять продиктувати код. Навіть технічно захищена система нічого не вдіє, якщо користувач сам передасть отриманий код стороннім особам.
Ще один ризик — шахрайство із використанням перевипущених SIM-карток за підробленими документами. Для критичних дій, як-от зміни номера телефону в акаунті, до SMS OTP бажано додавати перевірку іншим способом. Так само як і для операцій з великими сумами, SMS OTP варто поєднати з іншими факторами, наприклад паролем або біометрією в застосунку.
