كل ما يستحق المعرفة، ولا شيء مما لا يستحقها.
تصميم الكود ودورة حياته
استخدم رمزًا يتكون من 4 إلى 8 أرقام - طويل بما يكفي لتجنب التخمين، وقصير بما يكفي للكتابة. حدد مدة صلاحية قصيرة (5-10 دقائق)، وأبطل الرمز بعد استخدامه بنجاح مرة واحدة، وحدد عدد محاولات التحقق قبل إعادة إرساله. راجع /answers/what-is-otp و /answers/what-is-2fa.
الدفاع ضد التلاعب عبر رسائل SMS (AIT)
قد يؤدي تضخيم حركة البيانات بشكل مصطنع - حيث يقوم المحتالون بإرسال كميات هائلة من رسائل التحقق لمرة واحدة (OTP) إلى أرقام مميزة للحصول على حصة من هذه البيانات - إلى ارتفاع فاتورة رسائل التحقق لمرة واحدة بشكل ملحوظ. لذا، يُنصح بتحديد معدل الإرسال لكل رقم ولكل عنوان IP، وإضافة فحوصات سرعة الإرسال، ومراقبة الارتفاعات المفاجئة في عدد الرسائل الواردة من رموز الدول غير المعتادة. راجع /answers/what-is-sms-pumping و /answers/what-is-ait.
أولوية السرعة والمسار
يُعدّ رمز التحقق لمرة واحدة (OTP) حساسًا للوقت: فالرمز الذي يصل بعد أن يستسلم المستخدم يُعتبر تسجيل دخول فاشل. أرسل رمز التحقق لمرة واحدة عبر مسارات مباشرة ذات أولوية عالية مع هامش أمان كافٍ لاستيعاب الضغط المفاجئ، وراقب سجلات توجيه البيانات (DLR) لتتمكن من رصد أي خلل في المسار قبل أن يلاحظه المستخدمون. راجع /answers/what-is-dlr.
أضف قناة احتياطية
في حال تأخر رسائل SMS في السوق، يتم اللجوء تلقائيًا إلى التحقق عبر المكالمات الخاطفة، أو WhatsApp، أو رمز التحقق الصوتي لمرة واحدة، بحيث لا يعتمد التحويل على قناة واحدة. راجع /answers/what-is-flash-call-verification و /answers/what-is-silent-network-auth.
محتوى الرسائل ومكافحة التصيد الاحتيالي
ابدأ بعلامتك التجارية ورمز التحقق، واذكر الغرض منه، ولا تُضِف أي روابط - رسائل التحقق الموثوقة لا تطلب من المستخدم النقر أبدًا. هذا يُعوّد المستخدمين على عدم الثقة في الرسائل التي تحتوي على روابط. راجع /answers/what-is-smishing.