Un OTP — one-time PIN — este un cod valabil o singură dată, pentru o singură acțiune, într-un interval scurt de timp. Autentificarea în doi pași (2FA) îl folosește ca al doilea factor, pe lângă parolă.
Când merită folosit
Nu orice acțiune are nevoie de un cod. Pune OTP acolo unde o greșeală costă:
- autentificare de pe un dispozitiv nou sau dintr-o locație neobișnuită;
- schimbarea parolei, a adresei de e-mail sau a numărului de telefon;
- confirmarea unei plăți sau a unui transfer;
- ștergerea contului sau a unor date importante.
Dacă ceri un cod la fiecare pas, utilizatorii se obișnuiesc să-l tasteze mecanic — și atunci nu mai protejează nimic.
Cum arată un cod bun
Șase cifre sunt standardul practic. Sunt suficient de multe cât să nu fie ghicite și suficient de puține cât să fie ținute minte între notificare și câmpul de introducere.
Valabilitate scurtă. Trei până la cinci minute acoperă orice întârziere rezonabilă de rețea. Peste zece minute, fereastra de atac devine inutil de largă.
Generare criptografică. Folosește un generator sigur, nu rand(). Un cod previzibil nu este un cod.
O singură utilizare. Invalidează codul în momentul în care a fost folosit cu succes — nu la expirare.
Textul mesajului contează
Include numele aplicației, scopul codului și durata de valabilitate. Nu include linkuri: un mesaj OTP cu link este exact tiparul pe care îl folosesc atacurile de phishing, iar utilizatorii tăi trebuie să învețe să nu dea clic.
H8REV9 este codul de validare pentru YourCompany. Valabil 3 minute.
Atât. Fără promoții, fără „apasă aici".
Limitează încercările
Un cod de șase cifre are un milion de combinații. Fără limitare, un script le poate încerca pe toate. Blochează după cinci încercări greșite și cere reluarea procesului. Limitează și retrimiterea codului — altfel, formularul tău devine o unealtă de trimis SMS-uri pe cheltuiala ta.
Ce faci când codul nu ajunge
Oferă o alternativă clară: retrimitere după 60 de secunde, o metodă secundară (e-mail, aplicație de autentificare) și un traseu către suport. Un utilizator blocat fără ieșire este un utilizator pierdut.
Pe partea de livrare, rutele cu prioritate zero există exact pentru asta: un cod care ajunge în două minute nu mai este un cod.
