सब कुछ जो जानना ज़रूरी है, कुछ भी नहीं जो ज़रूरी नहीं है।
कोड डिज़ाइन और लाइफटाइम
4–8 न्यूमेरिक डिजिट का उपयोग करें — अनुमान लगाने से बचने के लिए पर्याप्त लंबे और टाइप करने के लिए पर्याप्त छोटे। एक छोटा एक्सपायरी समय (5–10 मिनट) सेट करें, एक सफल उपयोग के बाद कोड को अमान्य कर दें, और दोबारा भेजने के लिए मजबूर करने से पहले वेरिफिकेशन प्रयासों की सीमा तय करें। /answers/what-is-otp और /answers/what-is-2fa देखें।
SMS पंपिंग (AIT) से बचाव करें
आर्टिफिशियल इन्फ्लेटेड ट्रैफिक — धोखाधड़ी करने वाले लोग ट्रैफिक का हिस्सा कमाने के लिए प्रीमियम नंबरों पर OTPs की बाढ़ ला देते हैं — चुपचाप OTP बिल पर हावी हो सकते हैं। प्रति नंबर और प्रति IP रेट-लिमिट लगाएं, वेलोसिटी चेक जोड़ें, और असामान्य कंट्री कोड्स पर अचानक स्पाइक्स की निगरानी करें। /answers/what-is-sms-pumping और /answers/what-is-ait देखें।
स्पीड और रूट प्राथमिकता
OTP समय-संवेदनशील है: यदि कोड उपयोगकर्ता के हार मानने के बाद आता है, तो वह एक विफल लॉगिन है। OTP को सीधे, हाई-प्रायोरिटी रूट्स पर भेजें जिनमें अचानक बढ़ते लोड को संभालने की क्षमता हो, और DLRs की निगरानी करें ताकि उपयोगकर्ता के अनुभव बिगड़ने से पहले आप रूट डिग्रेडेशन को पकड़ सकें। /answers/what-is-dlr देखें।
एक फ़ालबैक चैनल जोड़ें
यदि किसी मार्केट में SMS में देरी होती है, तो स्वचालित रूप से फ्लैश-कॉल वेरिफ़िकेशन, WhatsApp, या वॉइस OTP पर स्विच हो जाएं ताकि कन्वर्जन केवल एक चैनल पर निर्भर न रहे। /answers/what-is-flash-call-verification और /answers/what-is-silent-network-auth देखें।
मैसेज कंटेंट और एंटी-फ़िशिंग
अपने ब्रांड और कोड के साथ शुरुआत करें, यह बताएं कि यह किस लिए है, और इसमें कोई लिंक शामिल न करें — वैध OTP मैसेज कभी भी यूजर को क्लिक करने के लिए नहीं कहते। यह यूजर्स को OTP-स्टाइल वाले मैसेज पर अविश्वास करने के लिए प्रशिक्षित करता है जिनमें लिंक होते हैं। /answers/what-is-smishing देखें।