ُعد رموز التحقق لمرة واحدة (OTP) الخاصة بـ SMS مقيدة وليست محظورة في المعايير الرئيسية لعام 2026. تصنف NIST SP 800-63B-4 (يوليو 2025) رموز SMS والرموز الصوتية كأداة مصادقة "مقيدة" لا تزال مسموحة لدى AAL2 إذا قدم المزود بديلاً وشرح المخاطر، ولكنها ليست مسموحة لدى AAL3. وبموجب PSD2، تقبل هيئة المصارف الأوروبية SMS OTP كعنصر حيازة. يتطلب معيار PCI DSS 4.0.1 مصادقة متعددة العوامل (MFA) مقاومة لإعادة التشغيل وغير قابلة للتجاوز دون تسمية SMS. وقد أبقت RBI في الهند صراحةً على SMS OTP اعتباراً من 1 أبريل 2026. القيود الحقيقية أضيق من ذلك؛ حيث نقلت البنوك في سنغافورة وهونغ كونغ وماليزيا والإمارات العربية المتحدة والفلبين عمليات تسجيل الدخول أو المعاملات عالية المخاطر إلى المصادقة المرتبطة بالتطبيق أو الجهاز. كل متطلب أدناه مرتبط بمصدره.
تم التحقق في 22 أكتوبر 2026 مقابل النصوص الرسمية، باستثناء الحالات المشار إليها بكلمة "مُبلغ عنها". تلخص هذه الصفحة القواعد لفرق المنتجات والأمن؛ وهي ليست نصيحة قانونية.
القواعد في لمحة سريعة
| المعيار أو الجهة التنظيمية | حالة SMS OTP | المتطلب الرئيسي | التاريخ |
|---|---|---|---|
| NIST SP 800-63B-4 (الولايات المتحدة) | مقيد؛ مسموح به في AAL2، وغير مسموح به في AAL3 | قدّم بديلاً، وأبلغ المستخدمين بالمخاطر، وقم بتقييمها؛ الرموز تُستخدم لمرة واحدة، وتتكون من 6 أرقام على الأقل، وصالحة لمدة 10 دقائق | يوليو 2025 |
| إرشادات CISA (الولايات المتحدة) | توصي بعدم استخدامه للأشخاص المستهدفين بشكل مكثف | نقل كبار المسؤولين إلى FIDO المقاوم للتصيد الاحتيالي | 18 ديسمبر 2024 |
| PSD2 RTS الخاص بـ SCA (الاتحاد الأوروبي) | مقبول كعنصر حيازة | رمز يُستخدم لمرة واحدة؛ ربط ديناميكي بالمبلغ والمستفيد؛ حماية ضد التكرار | يُطبق منذ 14 Sep 2019 |
| PSD3 / PSR (EU) | لم يتم العثور على قاعدة خاصة بـ SMS | لم يدخل حيز التنفيذ بعد | قيد الانتظار اعتباراً من Oct 2026 |
| PCI DSS 4.0.1 | غير مسمى | المصادقة متعددة العوامل (MFA) لجميع عمليات الوصول إلى CDE؛ مقاومة لإعادة التشغيل، لا تسمح بالتجاوز، وتدعم نوعين من المصادقة الثنائية | إلزامي بحلول 31 Mar 2025 |
| MAS (Singapore) | تم الاستغناء عنها لتسجيل دخول البنوك | يسجل العملاء الذين لديهم رمز رقمي دخولهم دون الحاجة إلى SMS OTP | اعتباراً من يوليو 2024 |
| HKMA (هونج كونج) | جهاز مرتبط بشكل افتراضي | تسجيل الدخول والمعاملات عالية المخاطر عبر الجهاز المرتبط؛ SMS في حال عدم وجود تطبيق | 2025 (الأهداف للربعين الثالث والرابع) |
| SFC في هونج كونج (الوسطاء، الأصول الافتراضية) | ليست لتسجيل الدخول أو ربط الأجهزة | مفاتيح المرور (Passkeys) أو الأجهزة المرتبطة | بحلول 8 Jul 2027 |
| BNM (ماليزيا) | الهجرة مطلوبة | الانتقال إلى مصادقة أكثر أماناً | أُعلن عنه في 26 Sep 2022 |
| CBUAE (الإمارات العربية المتحدة) (وفقاً للتقارير) | تم الاستغناء عنه تدريجياً لـ OTP البنكية | الانتقال إلى المصادقة داخل التطبيق | 25 Jul 2025 – 31 Mar 2026 |
| RBI (الهند) | مسموح | عاملان، عنصر ديناميكي واحد؛ SMS OTP لم يتم إيقافهما | اعتباراً من 1 Apr 2026 |
| BSP التعميم 1213 (الفلبين) | محدود للمؤسسات الكبيرة | التحقق البيومتري، أو السلوكي، أو بدون كلمة مرور للمخاطر العالية؛ لا توجد روابط في SMS | الامتثال بحلول June 2026 |
NIST SP 800-63B-4: مقيد، وليس محظوراً
نشرت NIST الوثيقة النهائية SP 800-63B-4 في July 2025، لتحل محل 800-63-3. وتعتبر الوثيقة رموز التحقق لمرة واحدة (OTP) المرسلة عبر شبكة الهاتف العامة (SMS أو الصوت) بمثابة **أداة مصادقة مقيدة** (القسم 3.2.9). ويجب على المزود الذي يستخدم هذه الرموز تقديم بديل واحد على الأقل غير مقيد، وإخطار المستخدمين بشكل واضح بالمخاطر، وأخذها في الاعتبار عند تقييم المخاطر، والاحتفاظ بخطة انتقال؛ وإذا قرر الطرف المعتمد أن المخاطر غير مقبولة، فيجب عدم استخدامها.
- **مستويات التأكيد:** يُسمح باستخدام الرموز خارج النطاق (out-of-band) في AAL2، عند دمجها مع كلمة مرور أو بصمة بيومترية، ولكن لا يُسمح بها في AAL3، التي تتطلب أدوات مصادقة تشفيرية مقاومة للتصيد الاحتيالي. كما يجب على جهات التحقق من AAL2 تقديم خيار واحد على الأقل مقاوم للتصيد الاحتيالي.
- **قواعد الرمز:** يتكون من 6 أرقام على الأقل من مُولّد عشوائي معتمد، ويُقبل لمرة واحدة فقط، وصالح لمدة لا تتجاوز 10 دقائق؛ ويتم القفل بعد ما لا يزيد عن 100 محاولة فاشلة متتالية.
- **مؤشرات المخاطر:** قبل إرسال الرمز، ينبغي للجهة المتحقِّقة التحقق من تغيير الجهاز وتغيير شريحة SIM ونقل الرقم (وهي توصية «ينبغي» وليست شرطًا ملزمًا «يجب»).
- لا يجوز استخدام **البريد الإلكتروني** كوسيلة مصادقة خارج النطاق (out-of-band).
لإجراء فحوصات SIM-change ونقل الأرقام، راجع التحقق من الأرقام وSIM Swap APIs والدفاع ضد احتيال SIM swap.
CISA: يستهدف فئات محددة بدقة
ينص دليل أفضل الممارسات للاتصالات المتنقلة الخاص بـ CISA الصادر في 18 December 2024 على ما يلي: "لا تستخدم SMS كعامل ثانٍ للمصادقة"، وذلك لأن SMS غير مشفرة و"ليست مقاومة للتصيد الاحتيالي، وبالتالي لا تُعد وسيلة مصادقة قوية لحسابات الأفراد المستهدفين بشكل مكثف". ويستهدف هذا الدليل كبار المسؤولين الحكوميين والسياسيين، ويوصي باستخدام FIDO كطريقة وحيدة مقاومة للتصيد الاحتيالي. علماً بأن هذا الدليل هو مجرد إرشادات وليس قاعدة لخدمات المستهلكين.
الاتحاد الأوروبي: PSD2 يقبل SMS OTP؛ PSD3 لم يصبح قانوناً بعد
وضعت المعايير التقنية التنظيمية للمصادقة القوية للعملاء (اللائحة المفوضة (EU) 2018/389)، والمعمول بها منذ 14 سبتمبر 2019، المعايير لأي رمز تحقق لمرة واحدة (OTP) يُستخدم في عمليات الدفع:
- **المادة 4:** يتم قبول رمز التحقق لمرة واحدة (OTP) مرة واحدة فقط ولا يمكن تزويره؛ بحد أقصى 5 محاولات فاشلة متتالية قبل الحظر؛ وبحد أقصى 5 دقائق من عدم النشاط بعد تسجيل الدخول.
- **المادة 5 (الربط الديناميكي):** تظهر للمدفع القيمة والمستفيد، ويكون الرمز خاصاً به؛ وأي تغيير يؤدي إلى إبطاله.
- **المادة 7:** تتطلب عناصر الحيازة تدابير ضد الاستخدام غير المصرح به والاستنساخ.
- **المادة 9:** يجب أن تكون العناصر مستقلة؛ وفي الأجهزة متعددة الأغراض مثل الهاتف، يلزم توفير تنفيذ آمن منفصل وتقنية للكشف عن التلاعب.
أكدت EBA في Q&A 2018_4039 أن SMS OTP يمكن أن يكون عنصر حيازة إذا تم حمايته ضد الاستنساخ، وتدرج رؤيتها الصادرة في يونيو 2019 OTP عبر SMS كعنصر حيازة صالح. وقد توصلت PSD3 ولائحة خدمات الدفع إلى اتفاق سياسي في نوفمبر 2025، ولكن حتى 22 أكتوبر 2026، لا تزال بانتظار الاعتماد النهائي والنشر؛ ولم نجد أي نص يستهدف SMS OTP في النص المتفق عليه.
PCI DSS 4.0.1: لم يتم تسمية SMS
تتطلب PCI DSS 4.0.1 مصادقة متعددة العوامل لجميع عمليات الوصول إلى بيئة بيانات حامل البطاقة (المتطلب 8.4.2) وتحدد كيفية عمل MFA (8.5.1): مقاومة لإعادة الإرسال، ويستحيل تجاوزها دون استثناء موثق ومحدد زمنياً، مع استخدام نوعين مختلفين على الأقل من العوامل، مع اشتراط نجاح كل عامل. وقد أصبح كلاهما إلزامياً في 31 مارس 2025. ولا تمنع المعايير SMS (وفقاً للصياغة المُبلغ عنها؛ حيث أن المعيار نفسه مقيد بـ licence)؛ ويشير ملحق معلومات MFA الخاص بـ PCI SSC فقط إلى تحذير NIST السابق بشأن SMS.
الجهات التنظيمية في منطقة آسيا والمحيط الهادئ
- **سنغافورة:** أعلنت MAS وجمعية البنوك في سنغافورة في 9 يوليو 2024 أن البنوك الكبرى للتجزئة ستتوقف تدريجياً عن استخدام OTPs لتسجيل الدخول خلال ثلاثة أشهر للعملاء الذين لديهم رمز رقمي (إصدار MAS). ولم يتأثر العملاء الذين لديهم رموز مادية.
- **هونغ كونغ (البنوك):** ينص التعميم الصادر عن HKMA بتاريخ 14 April 2025 على جعل الجهاز المرتبط (bound device) هو الخيار الافتراضي، بدلاً من SMS OTP، لعمليات تسجيل الدخول والمعاملات عالية المخاطر، مع تحديد أهداف في Q3 و Q4 2025. ولا يزال بإمكان العملاء الذين لا يستخدمون التطبيق أو الذين يختارون الاشتراك (تعميم HKMA) استخدام SMS OTP.
- **هونغ كونغ (الوسطاء ومنصات الأصول الافتراضية):** يحظر التعميم SFC 26EC35 الصادر في 9 يوليو 2026 استخدام OTPs لتسجيل دخول العملاء والربط (bind) الخاص بالأجهزة، لصالح مفاتيح المرور (passkeys) أو الأجهزة المرتبطة، وذلك بحلول 8 يوليو 2027.
- **ماليزيا:** ألزم بنك نيغارا ماليزيا المؤسسات المالية بالانتقال من SMS OTP إلى مصادقة أكثر أماناً، كما أُعلن في 26 سبتمبر 2022 (BNM).
- **الهند:** تتطلب توجيهات آليات المصادقة لمعاملات الدفع الرقمي لـ RBI لعام 2025 وجود عاملين مع عامل ديناميكي واحد اعتباراً من 1 أبريل 2026؛ وقد ذكرت RBI أن الإطار "لا يستدعي إيقاف OTP القائم على SMS" (RBI).
- **الفلبين:** يحد التعميم 1213 الصادر عن BSP والموقع في مايو 2025، من عمليات المصادقة القابلة للاعتراض مثل OTP SMS للمؤسسات الكبرى، ويتطلب استخدام الأساليب البيومترية أو السلوكية أو الأساليب التي لا تعتمد على كلمة مرور للمعاملات عالية المخاطر، ويحظر الروابط ورموز QR في SMS، مع وجوب الامتثال بحلول يونيو 2026 (BSP).
الخليج
في الإمارات، نقلت البنوك العملاء من OTP عبر SMS والبريد الإلكتروني إلى المصادقة داخل التطبيق بين 25 يوليو 2025 و31 مارس 2026، وفقاً لتقارير إشعار البنك المركزي؛ ولم يتوفر نص CBUAE عام. ولا يزال المرسلون غير المصرفيين في الإمارات يستخدمون OTP SMS على نطاق واسع. راجع OTP SMS بعد حظر البنك والجدول الزمني للوائح رسائل A2P.
مفاهيم خاطئة شائعة
- **"NIST حظر SMS."** لا. SMS هو عنصر مصادقة مقيد، مسموح به في AAL2 بموجب شروط معينة ويُستثنى فقط في AAL3.
- **"PSD2 يمنع SMS OTP."** لا. تقبل EBA استخدامه كعنصر حيازة؛ والمتطلبات الصارمة هي الربط الديناميكي والحماية من النسخ.
- **"PCI DSS 4.0 يحظر MFA SMS."** لا. فهو يتطلب مصادقة متعددة العوامل (MFA) مقاومة لإعادة التشغيل وغير قابلة للتجاوز، ولا يذكر SMS.
- **"CISA طلب من الجميع التوقف عن استخدام SMS."** هذا مبالغ فيه. إذ تستهدف التوجيهات الأفراد الحكوميين والسياسيين المستهدفين بشكل كبير.
- **"PSD3 أصبح قانوناً بالفعل."** ليس حتى تاريخ 22 أكتوبر 2026.
- **"تقوم الهند بإيقاف SMS OTP تدريجياً."** لا، فـ RBI لم تطلب صراحةً التوقف عن استخدامه.
- **"سنغافورة حظرت SMS OTP."** نطاق أضيق: تسجيل دخول البنك، للعملاء الذين يستخدمون رمزاً رقمياً.
قائمة مراجعة لـ SMS OTP تلبي هذه المعايير
- توليد رموز مكونة من 6 أرقام على الأقل باستخدام مولد عشوائي آمن تشفيراً؛ وقبول كل رمز مرة واحدة فقط؛ وانتهاء صلاحيتها خلال 10 دقائق (5 دقائق هي المدة الشائعة للمدفوعات).
- تحديد محاولات الإدخال: يقوم PSD2 بالحظر بعد 5 محاولات فاشلة متتالية؛ ويسمح NIST بـ 100 محاولة كحد أقصى قبل الحظر.
- بالنسبة للمدفوعات في الاتحاد الأوروبي، يجب إظهار المبلغ والمستفيد في الرسالة وربط الرمز بهما (الربط الديناميكي).
- التحقق من إشارات تغيير SIM ونقل رقم الهاتف قبل إرسال الرمز إلى جلسة عالية المخاطر.
- تقديم بديل واحد أقوى على الأقل (إشعارات التطبيق، مفتاح المرور Passkey، FIDO) والإبقاء على SMS كقناة للرجوع إلى قناة أخرى والاسترداد.
- الحفاظ على حركة رسائل OTP كرسائل معاملات: عدم إدراج روابط أو عروض في رسالة الرمز، مما يبقيها أيضاً خارج ساعات منع الإرسال وحظر الروابط.
- الإرسال عبر مسارات المشغّل المباشرة والمراقبة والمحمية بواسطة جدار حماية SMS، لضمان عدم اعتراض الرموز أو تأخيرها أو ضخها.
توفر API OTP BroadNet الرموز عبر أكثر من +1,000 اتصال مباشر مع المشغّلين مع خاصية الرجوع إلى قناة أخرى متعددة القنوات؛ اطلع على التحقق متعدد القنوات OTP، ومن SMS OTP إلى مفاتيح المرور (passkeys)، وللمشغّلين، جدار حماية SMS وحماية SS7.
الأسئلة الشائعة
هل لا يزال SMS OTP مسموحاً به في عام 2026؟
نعم، في معظم المعايير. يصنف NIST SP 800-63B-4 كعنصر مقيد ولكنه مسموح به في AAL2، ويقبل PSD2 استخدامه كعنصر حيازة، ولا تمنعه PCI DSS، كما احتفظت به RBI في الهند. وقد نقلت بعض الجهات التنظيمية، بما في ذلك MAS في سنغافورة، وHKMA في هونغ كونغ، وBSP في الفلبين، عمليات تسجيل الدخول إلى البنوك أو المعاملات عالية المخاطر إلى طرق أكثر قوة.
هل حظر NIST المصادقة ثنائية العامل SMS؟
لا. يصنف NIST SP 800-63B-4 (يوليو 2025) الرموز SMS والرموز الصوتية كمصادق مقيد: حيث يجب على المزودين تقديم بديل غير مقيد، وتوضيح المخاطر وتقييمها. يُسمح باستخدام SMS في AAL2 ولكن ليس في AAL3، التي تتطلب مصادقات مقاومة للتصيد الاحتيالي.
هل SMS OTP PSD2 متوافق مع المعايير؟
يمكن أن يكون كذلك. تقبل فقرة الأسئلة والأجوبة 2018_4039 الخاصة بـ EBA استخدام SMS OTP كعنصر حيازة إذا كان محمياً ضد النسخ، وبالنسبة للمدفوعات، يجب ربط الرمز ديناميكياً بالمبلغ والمستفيد بموجب المادة 5 من المعايير التقنية التنظيمية (RTS) الخاصة بالمصادقة القوية للعملاء.
هل يسمح PCI DSS 4.0 باستخدام SMS للمصادقة متعددة العوامل (MFA)؟
لا يحدد PCI DSS 4.0.1 أو يحظر SMS. تتطلب المتطلبات 8.4.2 و8.5.1، الإلزامية منذ 31 مارس 2025، استخدام المصادقة متعددة العوامل (MFA) لجميع عمليات الوصول إلى بيئة بيانات حامل البطاقة، بحيث تكون مقاومة لإعادة الإرسال (replay)، ولا يمكن تجاوزها، وتستخدم نوعين مختلفين على الأقل من عوامل المصادقة.
ما هي المدة التي يجب أن يكون فيها SMS OTP صالحاً؟
لا تزيد عن 10 دقائق بموجب NIST SP 800-63B-4، ويمكن استخدام كل رمز مرة واحدة فقط. تستخدم العديد من تدفقات الدفع 5 دقائق أو أقل، تماشياً مع حد عدم النشاط الخاص بـ PSD2.
ما هي الدول التي تفرض قيوداً على SMS OTP للعمليات المصرفية؟
سنغافورة (تسجيل الدخول إلى البنك، للعملاء الذين لديهم رمز رقمي، اعتباراً من 2024)، هونغ كونغ (الأجهزة المقيدة افتراضياً لتسجيل الدخول إلى البنك والمعاملات عالية المخاطر في 2025؛ والوسطاء بحلول يوليو 2027)، ماليزيا (الهجرة مطلوبة منذ 2022)، الإمارات العربية المتحدة (نُقل OTP البنكي إلى داخل التطبيق بحلول مارس 2026، وفقاً للتقارير)، والفلبين (المعاملات عالية المخاطر في المؤسسات الكبرى، بحلول يونيو 2026).
هل دخلت PSD3 حيز التنفيذ؟
ليس حتى 22 أكتوبر 2026. لقد توصلت PSD3 ولائحة خدمات الدفع إلى اتفاق سياسي في نوفمبر 2025، وهما بانتظار الاعتماد النهائي والنشر في الجريدة الرسمية.
ما هي الطريقة الأكثر أماناً لإرسال OTP عبر SMS؟
استخدم رموزاً صالحة للاستخدام لمرة واحدة مكونة من 6 أرقام عشوائية على الأقل وتنتهي صلاحيتها في غضون دقائق، وحدّ من محاولات الاستخدام، وتحقق من إشارات تبديل SIM ونقل الرقم للجلسات عالية المخاطر، واحرص على أن تكون الرسالة خالية من الروابط، وقم بالتسليم عبر مسارات المشغّل المباشرة المحمية بواسطة جدار حماية SMS، مع توفير طريقة أقوى جنباً إلى جنب.