رسائل OTP عبر WhatsApp وSMS: الأمان والتسليم ومكافحة الاحتيال
رسائل مصادقة OTP عبر WhatsApp وSMS: قوالب النقرة الواحدة وzero-tap ونسخ الرمز، والتسليم، والقناة الاحتياطية، والوقاية من SMS pumping، وتجربة مستخدم آمنة.
بقلم OmniChannels.ai Editorial Team · مراجعة BroadNet Messaging Solutions Team
الرسائل النصية ورموز التحقق
الإجابة المختصرة
يعتمد إعداد OTP موثوق على توليد رمز قصير الصلاحية يُستخدم مرة واحدة، وتسليمه عبر القناة الأرجح وصولًا بسرعة، ثم التحول مرة واحدة إلى قناة احتياطية إذا لم يتأكد التسليم. في WhatsApp استخدم قالب مصادقة بزر نسخ الرمز أو النقرة الواحدة أو zero-tap. وفي SMS استخدم اسم مرسل تعاملي مسجلًا. واحمِ القناتين بحدود معدل الطلبات وسقف للمحاولات ومراقبة SMS pumping، ويسمى أيضًا الحركة المضخمة اصطناعيًا.
في هذه الصفحة
أهم النقاط
- يشترط WhatsApp استخدام قوالب المصادقة لرموز المرور لمرة واحدة؛ وهي تعتمد نصًا جاهزًا ثابتًا وتسليمًا بنسخ الرمز أو النقرة الواحدة أو zero-tap.
- يتطلب الإكمال التلقائي بالنقرة الواحدة أو zero-tap تعديلات في تطبيق Android الخاص بك، بينما يعمل نسخ الرمز دون أي تعديل على التطبيق.
- يصنّف معيار NIST SP 800-63B رموز OTP المرسلة عبر شبكة الهاتف (SMS أو الصوت) كوسيلة مصادقة مقيّدة بسبب مخاطر تبديل شريحة SIM والاعتراض.
- يستخدم SMS pumping، ويسمى أيضًا الحركة المضخمة اصطناعيًا (AIT)، طلبات OTP وهمية لتوليد حركة SMS مدفوعة، ويُحدّ منه بحدود معدل الطلبات وأذونات الدول ومراقبة معدل الإكمال.
- ينبغي أن يبدأ التحول إلى القناة الاحتياطية عند غياب تأكيد التسليم بعد مهلة قصيرة، ولا يُعاد إرسال الرمز نفسه عبر محاولات غير محدودة.
هذا الدليل موجّه لمديري المنتج والمهندسين وفرق الأمن الذين يرسلون كلمات المرور لمرة واحدة (OTP) عند التسجيل أو تسجيل الدخول أو الدفع أو استعادة الحساب. يشرح كيف تعمل قوالب مصادقة WhatsApp، وكيف تُسلَّم الرموز عبر SMS، وكيف تصمم القناة الاحتياطية، وكيف توقف احتيال OTP مثل SMS pumping دون الإضرار بالمستخدمين الحقيقيين.
ما مواصفات رسالة OTP الجيدة؟
رسالة OTP الجيدة تصل خلال ثوانٍ، وسهلة الإدخال، ولا يمكن إعادة استخدامها، وتتضح فيها هويتك بجلاء. وكل ما في هذا الدليل يخدم هذه الخصائص الأربع.
- سريعة: تُسلَّم خلال ثوانٍ من المحاولة الأولى.
- سهلة: إكمال تلقائي أو نسخ حيثما أمكن، دون البحث في النص.
- آمنة: قصيرة الصلاحية، تُستخدم مرة واحدة، من ست خانات على الأقل، مع تحذير "لا تشاركه".
- موثوقة: اسم نشاط تجاري موثّق في WhatsApp أو اسم مرسل مسجل في SMS.
كيف تعمل قوالب مصادقة WhatsApp؟
يشترط WhatsApp استخدام قالب مصادقة لرموز المرور لمرة واحدة. تحدد Meta النص مسبقًا، مثل "123456 هو رمز التحقق الخاص بك"، مع توصية أمنية اختيارية ("لحمايتك، لا تشارك هذا الرمز") وتذييل اختياري لانتهاء الصلاحية. وبحسب وثائق Meta، لا يجوز أن تتضمن قوالب المصادقة روابط أو وسائط أو رموزًا تعبيرية، وتقتصر المعاملات على 15 حرفًا.
تختار أحد أنواع التسليم الثلاثة:
| النوع | تجربة المستخدم | العمل المطلوب على التطبيق | الأنسب لـ |
|---|---|---|---|
| نسخ الرمز (Copy-code) | يضغط المستخدم زرًا ينسخ الرمز ثم يلصقه | لا شيء | تسجيل الدخول عبر الويب، وتطبيقات iOS، والإطلاق السريع |
| الإكمال التلقائي بنقرة واحدة (One-tap) | يضغط المستخدم زرًا فيفتح تطبيق Android الخاص بك والرمز مُدخل | تكامل مع تطبيق Android (المصافحة وبيانات الحزمة) | تطبيقات Android التي تريد أقل احتكاك |
| zero-tap | يُمرَّر الرمز إلى تطبيق Android تلقائيًا دون أي ضغطة | تكامل مع تطبيق Android مع موافقة المستخدم داخل تطبيقك | مسارات Android الأعلى في معدل الإكمال |
وهناك نقطتان إضافيتان من وثائق Meta تستحقان المعرفة:
- أمان الأجهزة المرتبطة مفعّل افتراضيًا في Cloud API: تذهب الرموز إلى الجهاز الأساسي للمستخدم فقط وتُحجب على الأجهزة المرتبطة.
- الإكمال التلقائي على iOS: تذكر Meta أنه ابتداءً من 15 يونيو 2026، على iOS 26 وما بعده، تقترح لوحة المفاتيح الإكمال التلقائي لرمز OTP من إشعار WhatsApp دون الحاجة إلى تكامل.
وإذا أرسلت الرموز عبر قالب تسويقي أو قالب تحديثات المعاملات، فقد تجدول Meta رفض ذلك القالب، ولا يمكن الاعتراض على القرار. راجع دليلنا عن فئات قوالب WhatsApp.
كيف تُرسل رموز OTP عبر SMS؟
يبقى SMS القناة الشاملة: فهو يعمل دون بيانات أو تطبيق. ولجعله موثوقًا:
- استخدم اسم مرسل تعاملي مسجلًا في الأسواق التي تشترط التسجيل، مثل الإمارات والسعودية، وأبعد التسويق عنه. راجع دليل تسجيل اسم المرسل.
- اجعل الرسالة في جزء واحد. ضع الرمز أولًا، واذكر العلامة التجارية، وحدد مدة الصلاحية، وأضف تحذيرًا: "123456 هو رمز نجم الخاص بك. صالح 5 دقائق. لا تشاركه مع أحد." النص العربي يستخدم Unicode، لذا يتسع الجزء الواحد لعدد أقل من الأحرف.
- ادعم الإكمال التلقائي عبر SMS على Android (بصيغة SMS Retriever API) وعلى iOS (حقل one-time-code) حتى لا يضطر المستخدمون إلى كتابة الرمز.
- مرّر الرسائل عبر وصلات عالية الجودة تعيد تقارير التسليم، لتتوفر لمنطق التحول الاحتياطي والمراقبة إشارات حقيقية.
يصنّف NIST SP 800-63B رموز OTP عبر شبكة الهاتف العامة (SMS والصوت) كوسيلة مصادقة مقيّدة بسبب تبديل شريحة SIM ونقل الأرقام والاعتراض، ويوصي بفحص مؤشرات المخاطر مثل تغيير الشريحة قبل الإرسال. وللإجراءات عالية القيمة، اجمع بين OTP عبر SMS وإشارات أخرى أو وفّر عوامل أقوى مثل مفاتيح المرور (passkeys).
كيف تصمم تسليم OTP والقناة الاحتياطية؟
أرسل مرة واحدة عبر أفضل قناة، وانتظر قليلًا تأكيد التسليم، ثم تحوّل مرة واحدة إلى القناة الاحتياطية. المحاولات غير المضبوطة هي ما يضخّم التكلفة والاحتيال.
- اختر القناة الأساسية لكل مستخدم: WhatsApp لمن تحقق عبره سابقًا أو اختاره؛ وSMS لغيرهم.
- ولّد رمزًا واحدًا لكل جلسة تحقق، صالحًا لمدة قصيرة ويُقبل مرة واحدة.
- انتظر حالة "سُلّمت" خلال مهلة قصيرة تُقاس بالثواني لا بالدقائق.
- تحوّل مرة واحدة إلى القناة الأخرى إن لم يتم التسليم، مع إعادة استخدام الرمز نفسه أو إبطال الأول.
- وفّر إعادة إرسال يطلبها المستخدم مع عدّاد تنازلي ظاهر، بدلًا من التكرار التلقائي.
- ضع سقفًا لإعادة الإرسال والمحاولات لكل رقم هاتف وجهاز وجلسة.
- سجّل القناة والحالة وزمن الوصول ونتيجة التحقق لكل عملية إرسال.
| المقياس | ما يخبرك به | الإجراء عند تدهوره |
|---|---|---|
| معدل التسليم لكل قناة ودولة | سلامة المسار أو القناة | غيّر المسار أو القناة الأساسية لتلك السوق |
| زمن التسليم | انتظار المستخدم وخطر التخلي عن العملية | قصّر مهلة التحول الاحتياطي وافحص المسار |
| معدل إكمال التحقق (الرموز المُدخلة / الرموز المرسلة) | نجاح المستخدمين الحقيقيين ومؤشر الاحتيال | افحص الحركة ذات معدل الإكمال المنخفض |
| معدل إعادة الإرسال | احتكاك في التجربة أو مشكلات تسليم | راجع المهلة والإكمال التلقائي ونص الرسالة |
| الإنفاق لكل تحقق ناجح | التكلفة الحقيقية | أعد موازنة القنوات وشدّد ضوابط الاحتيال |
كيف تمنع SMS pumping واحتيال OTP؟
يحدث SMS pumping، ويسمى أيضًا الحركة المضخمة اصطناعيًا (AIT)، عندما تطلب برامج آلية رموز OTP إلى نطاقات أرقام يربح فيها طرف ما من إنهاء الحركة. تدفع ثمن كل رسالة، ولا يتحقق أي مستخدم حقيقي. والوقاية تتم على طبقات.
قائمة الضوابط
- أذونات الدول: اسمح بوجهات OTP في الدول التي لديك فيها عملاء فقط؛ واشترط المراجعة قبل إضافة دول جديدة.
- حدود معدل الطلبات لكل رقم هاتف وعنوان IP وجهاز وجلسة وبادئة رقم.
- حماية من البرامج الآلية (تحدٍّ أو تقييم مخاطر) قبل طلب OTP لا بعده.
- مراقبة معدل الإكمال: نبّه عند انخفاض حاد في إكمال التحقق لدولة أو بادئة.
- التحقق من الأرقام: ارفض الأرقام المشوّهة أو المتتالية أو غير الصالحة بوضوح.
- تنبيهات الإنفاق وسقوف يومية لكل وجهة.
- تباعد تصاعدي (exponential back-off) عند إعادة الإرسال، ولا محاولات تلقائية غير محدودة.
- فضّل WhatsApp للمستخدمين عليه، لأن قوالب المصادقة مرتبطة بحساب WhatsApp لا بإنهاء حركة SMS مميزة.
- دليل التعامل مع الحوادث: من يملك صلاحية حظر دولة أو بادئة، وبأي سرعة.
واحمِ المستخدمين أيضًا: لا تطلب الرمز أبدًا في مكالمة أو محادثة، وصرّح بذلك في الرسالة، واشترط إعادة المصادقة عند تغيير رقم الهاتف أو الشريحة.
مثال تطبيقي: تطبيق توصيل في قطر
يتحقق "رفيق للتوصيل" (اسم افتراضي) من المستخدمين الجدد ويؤكد الطلبات عالية القيمة.
- مستخدمو Android يتلقون قالب مصادقة WhatsApp بإكمال تلقائي بنقرة واحدة؛ ومستخدمو iOS والويب يتلقون نسخ الرمز.
- القناة الاحتياطية: إذا لم يتأكد تسليم WhatsApp خلال مهلة قصيرة، يُرسل الرمز نفسه مرة واحدة عبر SMS من اسم مرسل تعاملي مسجل.
- الحدود: ثلاثة طلبات رمز لكل رقم في الساعة، وسقف لكل جهاز وعنوان IP، وحصر وجهات OTP في دول الخليج التي يعمل فيها التطبيق.
- المراقبة: في إحدى الليالي ترتفع طلبات OTP إلى بادئة من خارج دول الخليج مع تحقق شبه معدوم. تحظرها أذونات الدول تلقائيًا؛ ولا تترتب على الحادثة أي تكلفة لأن الدولة لم تكن مفعّلة أصلًا.
- النتيجة: يتتبع الفريق أسبوعيًا الإنفاق لكل تحقق ناجح ومعدل إكمال التحقق لكل قناة، ويعدّل القناة الأساسية بحسب السوق.
أخطاء شائعة وحدود
- استخدام قوالب تسويقية أو قوالب تحديثات المعاملات لرموز OTP في WhatsApp.
- رموز طويلة الصلاحية أو قابلة لإعادة الاستخدام، أو رموز تبقى صالحة بعد إصدار رمز جديد.
- إعادة إرسال غير محدودة، فهي تفتح الباب للاحتيال وتزعج المستخدمين.
- غياب القيود الجغرافية على رموز OTP عند التسجيل.
- خلط نص ترويجي في رسائل OTP عبر SMS، وقد يؤدي إلى حظر اسم المرسل.
- اعتبار OTP العامل الوحيد في الإجراءات عالية المخاطر.
- تجاهل تغيّر التكاليف. تحاسب Meta على قوالب المصادقة المُسلَّمة بحسب سوق المستلم؛ تأكد من الأسعار الحالية في قائمة أسعار Meta.
كيف تساعدك OmniChannels.ai؟
تدعم OmniChannels.ai قوالب مصادقة WhatsApp مع OTP بالنقرة الواحدة وzero-tap ونسخ الرمز، إلى جانب قوالب تحديثات المعاملات والقوالب التسويقية، مع معاينة على الهاتف وتتبع للاعتماد. ويُسلَّم SMS عبر اتصال BroadNet Technologies بالمشغّلين، ويغطي OTP الصوتي المستخدمين الذين لا يستطيعون استقبال الرسائل النصية، فيمكنك الجمع بين WhatsApp وSMS والمكالمات الصوتية لرموز OTP مع تحويل بين القنوات يُضبط لكل حالة استخدام. وتساعدك تقارير التسليم، بعرضيها الموجز والمتقدم ومع المرشحات والتصدير إلى CSV، على مراقبة التسليم لكل قناة. وإرسال OTP وwebhooks التسليم موثّقة في REST API العامة.
الأسئلة الشائعة
ما الفرق بين النقرة الواحدة وzero-tap ونسخ الرمز في WhatsApp؟
يعرض نسخ الرمز (Copy-code) زرًا ينسخ الرمز ليلصقه المستخدم في تطبيقك أو موقعك. ويعرض زر النقرة الواحدة (One-tap) زرًا يفتح تطبيق Android الخاص بك ويمرر الرمز تلقائيًا. أما zero-tap فيسلّم الرمز إلى تطبيق Android في الخلفية دون أي ضغطة. تتطلب النقرة الواحدة وzero-tap تكاملًا مع تطبيق Android، ولا يتطلبه نسخ الرمز.
ما المدة المناسبة لصلاحية رمز OTP؟
اجعل الصلاحية قصيرة، ولا تقبل كل رمز إلا مرة واحدة. يشترط NIST SP 800-63B إتمام المصادقة خارج النطاق (out-of-band) خلال 10 دقائق وأن لا يقل الرمز عن ست خانات. وتعتمد شركات كثيرة مددًا أقصر لتسجيل الدخول والمدفوعات. ويمكن لقوالب مصادقة WhatsApp عرض سطر اختياري لانتهاء الصلاحية ليعرف المستخدم مدة صلاحية الرمز.
ما SMS pumping أو الحركة المضخمة اصطناعيًا؟
SMS pumping، أو الحركة المضخمة اصطناعيًا (AIT)، احتيال تطلق فيه برامج آلية (bots) أعدادًا كبيرة من رسائل OTP أو التحقق إلى نطاقات أرقام يتحكم بها المهاجم أو تعود عليه بالربح. تدفع الشركة ثمن رسائل لم يطلبها أي مستخدم حقيقي. من علامات الخطر ارتفاع مفاجئ في الطلبات إلى دول غير معتادة، وأرقام متتالية، وطلبات لا يكتمل فيها التحقق أبدًا.
هل أرسل OTP عبر WhatsApp أم SMS أولًا؟
يعتمد ذلك على جمهورك. حيث يملك معظم المستخدمين WhatsApp واتصال بيانات، يقدّم قالب المصادقة في WhatsApp تجربة تحمل علامتك التجارية مع نسخ الرمز أو الإكمال التلقائي. أما SMS فيصل إلى المستخدمين الذين لا يملكون WhatsApp أو بيانات. تُرسل فرق كثيرة عبر القناة المفضلة ثم تتحول مرة واحدة إلى الأخرى إذا لم يتأكد التسليم خلال مهلة قصيرة.
هل يمكنني إضافة رابط في رسالة OTP عبر WhatsApp؟
لا. بحسب وثائق Meta الخاصة بتصنيف القوالب، لا يجوز أن تحتوي قوالب المصادقة على روابط أو وسائط أو رموز تعبيرية، ونصها جاهز ثابت. يُسلَّم الرمز عبر آلية نسخ الرمز أو النقرة الواحدة أو zero-tap. ضع روابط تسجيل الدخول وأي محتوى آخر في قوالب تحديثات المعاملات (Utility) أو تسويقية منفصلة عند الاقتضاء.
هل تُرسل رموز OTP عبر WhatsApp إلى الأجهزة المرتبطة؟
تصف وثائق Meta الخاصة بقوالب المصادقة ميزة أمان الأجهزة المرتبطة (linked device security)، وهي مفعّلة افتراضيًا في Cloud API، وبموجبها تُسلَّم الرموز إلى الجهاز الأساسي للمستخدم فقط وتُحجب على الأجهزة المرتبطة. وهذا يقلل خطر قراءة الرموز في جلسة على جهاز مكتبي يتحكم به شخص آخر.
المصادر
تابع القراءة
مزيد من الأدلةالرسائل النصية ورموز التحقق
WhatsApp أم SMS أم RCS: أي قناة تناسب OTP والتسويق؟
مقارنة بين WhatsApp وSMS وRCS لرموز OTP والتنبيهات والتسويق والدعم: الانتشار وعوامل التكلفة والموافقة وتصميم القناة الاحتياطية وجدول قرار جاهز.
8 دقائق للقراءة
الرسائل النصية ورموز التحقق
احتيال SMS pumping: كيف يعمل AIT وكيف توقفه
احتيال SMS pumping أو الحركة المضخمة اصطناعيًا (AIT): كيف تعمل الهجمات، وعلامات الإنذار، وضوابط متعددة الطبقات لتتوقف عن دفع تكلفة رسائل SMS وهمية.
9 دقائق للقراءة
تعدد القنوات
OTP الصوتي والمكالمة الخاطفة: متى تتحقق عبر الصوت؟
شرح التحقق عبر OTP الصوتي والمكالمة الخاطفة: آلية العمل، ومتى يتفوق الصوت على SMS وWhatsApp، وضوابط الاحتيال، وتصميم القنوات البديلة، والنصوص، والتكلفة.
15 دقيقة للقراءة