Всё, что стоит знать, и ничего лишнего.
Как работает проверка номера
Классический сценарий: ваше приложение запрашивает одноразовый пароль, платформа генерирует его и отправляет на номер по каналу (SMS, голосовая связь, WhatsApp), а пользователь вводит его обратно для подтверждения владения. Более новые методы полностью обходят код — мгновенная проверка вызова считывает пароль из идентификатора вызывающего абонента неотвеченного звонка, а бесшумная сетевая аутентификация незаметно проверяет SIM-карту по оператору связи через сеанс передачи данных. См. /products/otp, /products/myotp и /answers/what-is-otp.
Методы проверки
Одноразовый пароль (OTP) по SMS (универсальный, наиболее распространенный); голосовой OTP (доступен для стационарных телефонов и рынков с низким уровнем доступности SMS, зачитывается вслух); OTP по WhatsApp (расширенный, недорогой, если приложение установлено); мгновенный звонок (быстрый, недорогой, без текста сообщения, совместим с Android); и бесшумная сетевая аутентификация (никаких неудобств для пользователя, наиболее устойчива к перехвату). Надежная служба проверки переключается между ними в зависимости от страны и результата доставки. См. /answers/what-is-2fa и /answers/what-is-flash-call-verification.
Бесшумная сетевая аутентификация и GSMA Open Gateway
Бесшумная сетевая аутентификация (SNA) открывает соединение для передачи данных, которое мобильный оператор проверяет по SIM-карте, подтверждая владение номером без необходимости ввода данных пользователем и без возможности фишинга или перехвата со стороны злоумышленника. Она предоставляется через GSMA Open Gateway и API проверки номеров CAMARA и является наиболее простым и надежным вариантом там, где есть покрытие оператора. См. /answers/silent-network-authentication и /answers/gsma-open-gateway.
Проблема мошенничества: AIT и SMS-накрутка
Трафик с одноразовыми паролями (OTP) является основной целью для искусственно завышенного трафика (AIT), также называемого SMS-накачкой: мошенники запускают потоки рассылок OTP на платные номера, на которых они наживаются, истощая ваш бюджет на верификацию. Меры защиты включают предварительную проверку HLR/диапазона номеров, ограничения скорости для каждого номера и IP-адреса, а также перенос регионов с высоким риском на мгновенную аутентификацию или скрытую аутентификацию. См. /answers/what-is-ait и /answers/what-is-sms-pumping.
Преимущества и выбор метода
Проверка номера предотвращает захват учетных записей, регистрацию ботов и мошенничество с платежами, одновременно подтверждая доступность реального клиента. Выберите вариант в зависимости от рынка: SMS для универсального охвата, бесшумная аутентификация или мгновенный звонок для снижения затрат и упрощения процедур там, где это необходимо, голосовая аутентификация в качестве резервного варианта, и всегда сначала проверяйте номера, чтобы снизить риски AIT. Стек проверки BroadNet охватывает все эти варианты. См. /products/hlr-lookup и /operators/flash-call.
Какой метод подтверждения номера является наиболее безопасным?
Бесшумная сетевая аутентификация — самая надежная: поскольку она проверяет SIM-карту по оператору через канал передачи данных, нет кода, который можно было бы фишить, перехватить через SS7 или выманить у пользователя с помощью методов социальной инженерии. Следующий по надежности — мгновенный звонок. Обычный SMS-код подтверждения (OTP) — самый универсальный, но и самый уязвимый для атак, поэтому его следует сочетать с проверкой номера и ограничениями скорости. Практическое решение — это политика, которая переключается между методами в зависимости от риска и зоны покрытия. См. /answers/what-is-2fa.