Как снизить расходы на OTP по SMS: 9 рабочих тактик

Тактика 3: составьте список разрешённых направлений

Включайте только страны, где у вас есть реальные пользователи. Для новых стран нужна заявка от бизнеса. В включённых странах блокируйте или проверяйте префиксы, показывающие признаки атаки, и в высоконагруженных сценариях проверяйте номера перед отправкой с помощью проверки номера.

Тактика 4: поставьте предохранители расходов

Установите почасовые и суточные лимиты расходов по странам и эндпоинтам и автоматически приостанавливайте направление, когда объём превышает кратное обычного, вызывая человека на проверку. Это ограничивает счёт от любой атаки, прошедшей предыдущие уровни.

Тактика 5: предлагайте шаблоны аутентификации WhatsApp до SMS

Для пользователей, у которых есть WhatsApp, шаблон аутентификации часто оказывается более дешёвым маршрутом, а модель платы за терминацию SMS, питающая pumping, к нему не применяется. Сравните каналы для своих стран, а не полагайтесь на предположения.

Факты из документации Meta.

• Шаблоны аутентификации используют заданный текст с кодом, необязательную рекомендацию по безопасности и необязательную сноску о сроке действия от 1 до 90 минут. Они относятся к категории аутентификации (authentication) Meta.
• Варианты кнопок: копирование кода, автозаполнение в одно касание и zero-tap на Android. В iOS 26 и новее подсказки клавиатуры могут определять код; в более ранних версиях iOS следует использовать копирование кода.
• Meta тарифицирует сообщения аутентификации за доставленное сообщение по тарифу рынка получателя с месячными ступенями объёма по рынкам. У аутентификации нет бесплатного месячного уровня, а у некоторых рынков есть отдельный международный тариф аутентификации, поэтому уточните свои страны в актуальной тарифной сетке Meta.

В нашем руководстве OTP через WhatsApp и OTP через SMS показано, как создавать и отправлять шаблоны.

Тактика 6: выбирайте порядок каналов для пользователя, а не для компании

Самый дешёвый порядок — тот, что соответствует каналу, где пользователь действительно может получить код. Упорядочите каналы по самой низкой стоимости среди тех, что у пользователя, вероятно, есть, затем переключайтесь на запасной после короткого ожидания.

Голосовой OTP тоже доступен как крайний вариант, а его цену наша команда сообщает по запросу. Настройте порядок в правилах резервирования каналов и используйте один и тот же код во всех каналах.

Тактика 7: настройте время переключения, чтобы не платить дважды

Отправляйте запасное сообщение только если подтверждение доставки не пришло в течение короткого тайм-аута, измеряемого секундами. Если сообщение WhatsApp доставлено, не отправляйте SMS; если не доставлено, Meta его не тарифицирует. Не более одного запасного сообщения и один и тот же код в обоих.

Тактика 8: подтверждайте реже и умнее

Каждая безопасно пропущенная проверка — сэкономленное сообщение. Запрашивайте код при регистрации, на новых устройствах, после смены пароля и для действий с высокой ценностью. Для известных устройств с действующей сессией используйте токен запомненного устройства или ключ доступа. Сохраняйте проверки риска (невозможное перемещение, новая SIM-карта), чтобы пропуск кода не открывал путь к захвату аккаунта.

NIST SP 800-63B-4 ограничивает использование телефонной сети общего пользования для внеполосной проверки и требует от верификаторов сохранять доступными альтернативные типы аутентификаторов, поэтому снижение зависимости от SMS согласуется с рекомендациями по безопасности, а не только со стоимостью.

Тактика 9: сократите повторы за счёт лучшей доставки и UX

Повторы — это платные сообщения. Сократите их следующими способами.

1. Доставляйте по прямым маршрутам с отчётами о доставке, чтобы медленные или молчаливые маршруты были видны. См. серые и прямые маршруты SMS.
2. Держите SMS в одном сегменте, чтобы оно не делилось. Русское сообщение с кодом Код Najm: 482915. Действует 5 минут. Никому не сообщайте. занимает 57 символов в Unicode (70 на сегмент, так как кириллица не входит в GSM-7). Английский вариант Najm code: 482915. Valid 5 minutes. Never share it. — 51 символ в GSM-7 (160 на сегмент). Арабский вариант رمز نجم: 482915 صالح 5 دقائق. لا تشاركه مع أحد. — 47 символов в Unicode (70 на сегмент). Любой вариант проверяйте в счётчике символов SMS.
3. Поддерживайте автозаполнение, например формат кода и кнопки в одно касание или копирования кода, чтобы пользователь не ошибался при вводе.
4. Задавайте срок действия, достаточный для реальных пользователей. NIST требует, чтобы внеполосные секреты истекали в течение 10 минут; не делайте срок таким коротким, чтобы пользователям приходилось запрашивать код заново.
5. Разбирайте жалобы по руководству OTP не приходит: диагностика.

Что измерять каждый месяц?

Ведите небольшую панель по странам и сценариям и пересматривайте её еженедельно во время изменений.

Каких ошибок избегать?

• Оптимизировать цену сообщения, пока в счёте преобладают фрод и повторы.
• Блокировать целые страны после атаки вместо заранее составленного списка разрешённых, что вредит реальным пользователям за рубежом.
• Отправлять SMS и WhatsApp одновременно «для надёжности», что удваивает стоимость.
• Устанавливать очень короткий срок действия, вызывающий повторные запросы.
• Считать, что WhatsApp есть у всех. Сохраняйте SMS как запасной канал и измеряйте досягаемость.
• Убирать верификацию без проверок риска, меняя проблему стоимости на проблему захвата аккаунтов.

Чем помогает OmniChannels.ai

OmniChannels.ai на платформе BroadNet Technologies отправляет OTP по SMS через прямые подключения к операторам и через шаблоны аутентификации WhatsApp (в одно касание, zero-tap и копирование кода) с настраиваемым резервированием каналов и нормализованными вебхуками доставки для вашей собственной отчётности по затратам. Отчёты о доставке можно фильтровать и экспортировать в CSV. Интеграцию обеспечивают REST API и SMPP. Обсудите с командой ваши страны и объёмы и посмотрите опубликованные прайс-листы на страницах цен WhatsApp и цен на SMS по странам.