Semua yang perlu diketahui, tidak ada yang tidak perlu.
Desain dan masa berlaku kode
Gunakan 4–8 digit numerik — cukup panjang untuk menahan tebakan, cukup pendek untuk diketik. Atur masa kedaluwarsa yang singkat (5–10 menit), batalkan kode setelah satu kali penggunaan berhasil, dan batasi upaya verifikasi sebelum memaksa pengiriman ulang. Lihat /answers/what-is-otp dan /answers/what-is-2fa.
Lindungi dari SMS pumping (AIT)
Artificially Inflated Traffic — penipu yang memicu banjir OTP ke nomor premium untuk mendapatkan bagian dari trafik tersebut — dapat secara diam-diam mendominasi tagihan OTP. Batasi laju per nomor dan per IP, tambahkan pemeriksaan kecepatan, dan pantau lonjakan tiba-tiba ke kode negara yang tidak biasa. Lihat /answers/what-is-sms-pumping dan /answers/what-is-ait.
Kecepatan dan prioritas rute
OTP sangat sensitif terhadap waktu: kode yang tiba setelah pengguna menyerah berarti login gagal. Kirim OTP melalui rute prioritas tinggi yang langsung dengan kapasitas untuk lonjakan trafik, dan pantau DLR agar Anda dapat mendeteksi penurunan kualitas rute sebelum pengguna menyadarinya. Lihat /answers/what-is-dlr.
Tambahkan saluran cadangan
Jika SMS mengalami keterlambatan di suatu pasar, beralihlah secara otomatis ke verifikasi flash-call, WhatsApp, atau voice OTP agar konversi tidak bergantung pada satu saluran saja. Lihat /answers/what-is-flash-call-verification dan /answers/what-is-silent-network-auth.
Konten pesan dan anti-phishing
Gunakan brand dan kode Anda sebagai identitas, nyatakan tujuannya, dan jangan sertakan tautan — pesan OTP yang sah tidak pernah meminta pengguna untuk mengeklik. Ini melatih pengguna untuk tidak memercayai pesan gaya OTP yang berisi tautan. Lihat /answers/what-is-smishing.