Lista de Verificação de Otimização de Entrega de OTP

• Defina uma cascata de canais por mercado (por exemplo, SMS → WhatsApp/RCS → chamada de voz).O recurso alternativo deve ser limitado no tempo: se o canal um não for confirmado em N segundos, escale para o seguinte.
• Prefira a verificação nativa da aplicação onde disponível (preenchimento automático silencioso/OTP, push baseado na aplicação) para reduzir a dependência do SMS.
• Use o OTP por voz como recurso alternativo em mercados com fraca capacidade de entrega de SMS ou para acessibilidade.
• Evite enviar o mesmo OTP por dois canais em simultâneo — duplica o custo e a exposição a AIT.

• Registe os sender IDs onde o mercado o exija; os IDs não registados são frequentemente eliminados.O pré-registo de sender ID é obrigatório num número crescente de mercados.
• Use uma rota de OTP dedicada e de baixa latência, separada do tráfego de marketing.Nunca partilhe uma rota entre o OTP transacional e o tráfego promocional em massa.
• Mantenha o conteúdo do modelo mínimo, com marca e consistente para passar os filtros de conteúdo.
• Suporte formatos de preenchimento automático (por exemplo, a convenção do código de uso único associado à origem na última linha) para acelerar a introdução.
• Defina um validity_period curto para que um OTP atrasado expire em vez de chegar obsoleto.

• Meça a latência de ponta a ponta até ao telemóvel (da submissão ao DLR), não apenas a latência de aceitação da submissão.
• Defina um período de espera para reenvio e limite o número de reenvios por utilizador e por janela.Reenvios sem limite são a principal superfície de ataque para o SMS pumping.
• Acione o recurso alternativo perante a ausência de um DLR dentro do seu orçamento de latência, não apenas perante uma falha explícita.
• Elimine duplicações: uma verificação lógica = um código, mesmo em repetições, para não confundir o utilizador.
• Meça a taxa de entrega, a latência mediana/p95, e a conversão (código introduzido) por mercado.

• Use códigos numéricos de 6 dígitos como padrão; mais longos só onde a política o exija.
• Associe o código à sessão/dispositivo e faça-o expirar no servidor após a primeira utilização ou um limite de tempo.
• Localize o corpo da mensagem mantendo o código e o token de marca estáveis.
• Nunca inclua o código numa ligação clicável que possa ser alvo de phishing; mantenha-o apenas para copiar/escrever.

A fraude por AIT/SMS pumping gera pedidos de OTP reais para números que o fraudador controla, inflacionando a sua fatura sem um utilizador legítimo. É a secção de maior retorno para a maioria dos remetentes.

• Limite a taxa de pedidos de OTP por número de telefone, por IP e por impressão digital do dispositivo.
• Acrescente fricção (CAPTCHA/desafio) quando a velocidade dispara a partir de uma origem.
• Bloqueie ou limite os intervalos de destino de alto risco e os prefixos de número conhecidos como problemáticos.Um súbito aumento de tráfego para um intervalo de país invulgar é a assinatura clássica de AIT.
• Monitorize a taxa de conversão por destino — o tráfego inflacionado mostra pedidos com introdução de código praticamente nula.
• Use inteligência de números/consulta HLR para rejeitar números inválidos ou de alto risco antes do envio.
• Trabalhe com um fornecedor que ofereça deteção de AIT e atue perante padrões suspeitos.