Definição
Uma senha de uso único (OTP, do inglês one-time password) é um código curto válido para um único login ou transação, normalmente por poucos minutos. As empresas a enviam por SMS, WhatsApp, voz ou e-mail, ou a geram em um app autenticador, para confirmar que o usuário controla um número, uma caixa de e-mail ou um dispositivo.
Os OTPs são gerados por um algoritmo compartilhado pelas duas partes (HOTP, RFC 4226, baseado em contador; TOTP, RFC 6238, baseado em tempo, como nos apps autenticadores) ou criados aleatoriamente por um servidor e entregues por um canal de mensagens. No caso dos OTPs por mensagem, o servidor armazena um hash do código com prazo de validade e um contador de tentativas.
Boas práticas: de 4 a 8 dígitos, validade curta, limite de tentativas erradas, intervalo de espera antes do reenvio e nenhuma reutilização. Mantenha a mensagem curta, coloque o código logo no início, identifique a marca e inclua um aviso para não compartilhar o código. Nunca inclua conteúdo de marketing em uma mensagem de OTP.
A escolha do canal faz diferença. O SMS chega a praticamente qualquer celular; os modelos de autenticação do WhatsApp oferecem copiar código, preenchimento automático com um toque (one-tap) e sem toque (zero-tap) no Android; o OTP por voz alcança telefones fixos e usuários que não conseguem ler a tela. Muitas empresas usam fallback de canal, por exemplo WhatsApp primeiro, depois SMS e, por fim, voz.
Endpoints de OTP são alvo de SMS pumping (inflação artificial de tráfego). Aplique limites de taxa por número de telefone, IP e dispositivo, bloqueie países de destino que você não atende e monitore a proporção de códigos que são de fato digitados.
A OmniChannels.ai envia OTPs por SMS, modelos de autenticação do WhatsApp (one-tap, zero-tap e copiar código) e voz.
Exemplo
482917 é o seu código de verificação Acme. Ele expira em 5 minutos. Não compartilhe com ninguém.