Tudo o que vale a pena saber, nada do que não vale.
Design e ciclo de vida do código
Use de 4 a 8 dígitos numéricos — um número suficientemente longo para evitar adivinhações, mas curto o bastante para ser digitado. Defina um tempo de expiração curto (de 5 a 10 minutos), invalide o código após um uso bem-sucedido e limite as tentativas de verificação antes de forçar um reenvio. Consulte /answers/what-is-otp e /answers/what-is-2fa.
Defesa contra manipulação de SMS (AIT)
Tráfego artificialmente inflado — fraudadores que disparam uma enxurrada de palavras-passe de uso único (OTP) para números premium a fim de lucrar com o tráfego — pode silenciosamente dominar a sua fatura de OTP. Limite a taxa por número e por IP, adicione verificações de velocidade e monitorize picos repentinos para códigos de país incomuns. Veja /answers/what-is-sms-pumping e /answers/what-is-ait.
Prioridade de velocidade e rota
O OTP é sensível ao tempo: um código que chega depois que o utilizador desiste indica uma falha de login. Envie o OTP por rotas diretas e de alta prioridade, com margem para picos de tráfego, e monitorize os DLRs para detetar a degradação da rota antes que os utilizadores a percebam. Veja /answers/what-is-dlr.
Adicionar um canal de fallback
Se houver atraso no envio de SMS num determinado mercado, o sistema recorrerá automaticamente à verificação por chamada instantânea, WhatsApp ou OTP por voz, para que a conversão não dependa de um único canal. Consulte /answers/what-is-flash-call-verification e /answers/what-is-silent-network-auth.
Conteúdo da mensagem e proteção contra phishing
Comece apresentando a sua marca e o código, explique para que serve e não inclua links — mensagens legítimas de OTP nunca pedem ao utilizador para clicar. Isso ensina os utilizadores a desconfiarem de mensagens no estilo OTP que contêm links. Veja /answers/what-is-smishing.