Entrada em dois passos com um código por SMS no seu site ou aplicação

Segurança·· 14 visualizações· 3 min de leitura

A resposta curta: depois de a senha estar certa, o seu site envia um código para o telemóvel já confirmado do cliente e só abre a sessão quando o código bater. Quem roubou ou adivinhou a senha fica à porta, porque não tem o telemóvel. Com a nossa API de verificação são dois pedidos, e o cliente não precisa de instalar nenhuma aplicação.

Como encaixa no seu início de sessão

1 Confira a senha como sempre. Se estiver errada, pare aqui e não envie SMS nenhum: cada código gasta créditos e um código enviado a quem errou a senha é um convite ao abuso.
2 Senha certa: não abra ainda a sessão. Crie um estado intermédio, «falta o segundo passo», ligado àquele utilizador.
3 Envie o código com POST /v1/sms/otp para o número que o cliente confirmou no registo, nunca para um número que venha no formulário de entrada.
4 Guarde o id nesse estado intermédio e mostre o ecrã do código, com o número tapado.
5 Confira com /verify. Com valid: true, abra a sessão; com valid: false, mostre as tentativas que restam.

Regras que funcionam bem na entrada

Escolha Porquê
Validade de 5 minutos (a omissão) O cliente tem o telemóvel na mão; um código para agora não serve amanhã.
3 a 5 tentativas Chega para enganos; é pouco para quem tenta adivinhar.
Uma espera entre reenvios Defina-a nas regras da conta. Sem ela, não há limite de reenvios (veja os limites contra o abuso).
Texto com o nome do serviço e «Não o partilhe» Por exemplo: O seu código de entrada é {code}. Válido {minutes} min.

O que decide o seu sistema

A API confere o código; as regras da sua entrada são suas. Decida se pede o código em todas as entradas ou só num aparelho novo, quanto tempo um aparelho fica lembrado, e o que acontece quando o cliente perdeu o telemóvel. Este último caso tem de ter resposta antes de ligar o segundo passo: uma forma de recuperação que não seja mais fraca do que o próprio código, por exemplo um contacto com a sua equipa com verificação de identidade.

O SMS é um bom segundo passo, não o único possível. Pode ser lido no ecrã bloqueado e, num caso extremo, desviado com uma troca do cartão SIM. Em contas com muito valor, ofereça também uma aplicação de autenticação. As diferenças estão explicadas em enviar códigos de uso único com segurança.
Avise o cliente quando houver uma entrada nova. Um SMS normal a dizer «Entrou na sua conta agora» dá-lhe a hipótese de reagir se não foi ele. Ideias de avisos estão em SMS transaccional.

Quer proteger a entrada do seu site com um segundo passo por SMS? Veja o SMS de Verificação.

Ver o SMS de Verificação

VEJA TAMBÉM

API de verificação por SMS: geramos, enviamos e conferimos o código, e o seu sistema guarda só o id

Golpes do código partilhado: proteger os seus clientes de quem lhes pede o código do SMS

Limites contra o abuso: códigos por número e por hora e a espera entre reenvios

O ecrã do código: o campo, a contagem decrescente, as tentativas que restam e mensagens claras

Enviar códigos de uso único (OTP) por SMS com segurança: validade, tentativas e registos

SMS transaccional: avisos de encomenda, confirmações e alertas que os clientes esperam

PRODUTO RECOMENDADO

Hospedagem de sites com cPanel

Domínio e SSL incluídos, cópias diárias e o painel que já conhece. desde $6.60/mês (plano de 3 anos, com cupão)

Ver planos
Esta resposta foi útil? A sua resposta ajuda-nos a melhorar este artigo.

Artigos Relacionados

Segurança 2.327 O que é um certificado SSL e qual a sua vantagem? Um certificado SSL cifra a ligação entre o navegador de um visitante e o seu site, para que senhas, números de cartão e...
Segurança 2.367 Porque é que o meu certificado SSL não dura 365 dias? Se está no SSL grátis que toda a conta recebe por padrão, isto não se aplica a si - avance para a nota abaixo. Só é rele...
Segurança 3.974 Como redireccionar HTTP para HTTPS via .htaccess Isto obriga todos os visitantes à versão cifrada do seu site, mesmo que escrevam ou liguem para o endereço simples http:...
Segurança 2.256 Como saber se o meu site está infectado por malware A maioria das infecções não se anuncia - aparecem como pequenos sintomas estranhos antes de algo parecer claramente erra...
Segurança 2.139 Como resolver um site infectado por malware Limpar é só metade do trabalho - se a porta que deixou entrar a infecção continuar aberta, ela volta. Siga esta ordem. 1...
Segurança 46 Mudar o número de telemóvel de um cliente com segurança: confirmar o número novo antes de o gravar A resposta curta: quando um cliente muda o número de telemóvel na sua conta, envie um código para o número novo e só o g...