Definisi
OTP (one-time password) adalah kode singkat yang hanya berlaku untuk satu kali login atau satu transaksi, biasanya selama beberapa menit. Bisnis mengirimkannya lewat SMS, WhatsApp, voice, atau email, atau membuatnya di aplikasi authenticator, untuk memverifikasi bahwa pengguna benar-benar menguasai nomor, inbox, atau perangkat tersebut.
OTP dibuat dengan dua cara: menggunakan algoritma yang dipakai bersama oleh kedua pihak (HOTP, RFC 4226, berbasis counter; TOTP, RFC 6238, berbasis waktu, seperti pada aplikasi authenticator), atau dibuat secara acak oleh server lalu dikirim lewat kanal pesan. Untuk OTP via pesan, server menyimpan hash dari kode beserta masa berlaku dan penghitung percobaan.
Praktik yang baik: 4–8 digit, masa berlaku singkat, batas percobaan salah, jeda (cooldown) sebelum kirim ulang, dan kode tidak dipakai ulang. Buat pesan singkat, letakkan kode di awal, sebutkan nama brand, dan tambahkan peringatan agar kode tidak dibagikan. Jangan pernah menyertakan konten pemasaran dalam pesan OTP.
Pemilihan kanal itu penting. SMS menjangkau hampir semua ponsel; template autentikasi WhatsApp mendukung salin kode (copy-code), one-tap, dan autofill zero-tap di Android; OTP voice menjangkau telepon rumah dan pengguna yang tidak dapat membaca layar. Banyak bisnis memakai fallback (kanal cadangan), misalnya WhatsApp lebih dulu, lalu SMS, kemudian voice.
Endpoint OTP menjadi sasaran SMS pumping (penggelembungan trafik secara artifisial). Terapkan pembatasan laju (rate limit) per nomor telepon, IP, dan perangkat, batasi negara tujuan yang tidak Anda layani, dan pantau persentase kode yang benar-benar dimasukkan.
OmniChannels.ai mengirim OTP lewat SMS, template autentikasi WhatsApp (one-tap, zero-tap, dan copy-code), serta voice.
Contoh
482917 adalah kode verifikasi Acme Anda. Kode berlaku selama 5 menit. Jangan bagikan kode ini kepada siapa pun.