Tutto ciò che vale la pena sapere, niente di superfluo.
Progettazione e durata del codice
Utilizza da 4 a 8 cifre numeriche: abbastanza lunghe da impedire di indovinare, ma abbastanza brevi da poter essere digitate. Imposta una scadenza breve (5-10 minuti), invalida il codice dopo un utilizzo corretto e limita i tentativi di verifica prima di forzarne un nuovo invio. Consulta /answers/what-is-otp e /answers/what-is-2fa.
Difesa contro il pumping di SMS (AIT)
Il traffico gonfiato artificialmente (ovvero, truffatori che inviano un flusso massiccio di codici OTP a numeri a pagamento per ottenere una percentuale sul traffico) può incidere notevolmente sulla bolletta degli SMS. È consigliabile limitare la frequenza per numero e per indirizzo IP, aggiungere controlli di velocità e monitorare i picchi improvvisi verso prefissi internazionali insoliti. Consultare /answers/what-is-sms-pumping e /answers/what-is-ait.
Priorità di velocità e percorso
L'OTP è sensibile al tempo: un codice che arriva dopo che l'utente ha rinunciato all'accesso è considerato un tentativo di autenticazione fallito. Invia l'OTP tramite percorsi diretti ad alta priorità con margine per i picchi di traffico e monitora i DLR (Direct Line Router) per rilevare eventuali degradi di traffico prima che se ne accorgano gli utenti. Vedi /answers/what-is-dlr.
Aggiungi un canale di fallback
Se l'SMS subisce ritardi in un determinato mercato, il sistema ripiega automaticamente sulla verifica tramite chiamata flash, WhatsApp o OTP vocale, in modo che la conversione non dipenda da un singolo canale. Vedi /answers/what-is-flash-call-verification e /answers/what-is-silent-network-auth.
Contenuto del messaggio e protezione anti-phishing
Metti in evidenza il tuo marchio e il codice, specifica a cosa serve e non includere alcun link: i messaggi OTP legittimi non chiedono mai all'utente di cliccare. Questo abitua gli utenti a diffidare dei messaggi in stile OTP che contengono link. Vedi /answers/what-is-smishing.