Не приходит OTP-код: причины, таблица диагностики и решения

Почему OTP приходит поздно или после истечения срока?

Задержка обычно возникает на маршруте или на телефоне, а истечение срока превращает задержку в сбой. NIST SP 800-63B-4 указывает, что аутентификация вне основного канала недействительна, если её не завершили в течение 10 минут, и что код можно использовать только один раз. Это верхняя граница для случаев с высоким уровнем гарантий, а не цель. Выберите срок жизни, который покрывает обычный разброс доставки, но не держит код открытым дольше необходимого.

Практические правила:

• Аннулируйте старый код при выдаче нового и скажите пользователю, что работает только последний.
• Показывайте таймер повторной отправки, чтобы пользователи не нажимали кнопку подряд и не засыпали себя конфликтующими кодами.
• Ограничьте число попыток и запросов на номер, чтобы защититься от подбора и злоупотреблений.
• Записывайте время отправки, доставки и проверки, чтобы видеть реальную задержку, а не угадывать её.

Что могут сделать пользователи, если код не приходит?

Короткий чек-лист для конечных пользователей, который можно разместить на экране проверки или в справке:

1. Проверьте номер на экране. Он верный, с правильным кодом страны?
2. Проверьте сигнал. Перейдите туда, где есть покрытие, или включите и выключите режим полёта.
3. Загляните в папку спама, заблокированных или «неизвестных отправителей» в приложении сообщений.
4. Убедитесь, что «Не беспокоить» или фильтр звонков и сообщений не скрывает сообщение.
5. Освободите память, если входящие переполнены.
6. Если вы за границей, включите роуминг для звонков и сообщений или выберите другой способ.
7. Дождитесь таймера повторной отправки и запросите новый код один раз. Частые запросы могут сработать как ограничение.
8. Если не получилось, выберите другой способ, например WhatsApp или голосовой звонок, либо обратитесь в поддержку.

Может ли защита от SMS-пампинга блокировать настоящих пользователей?

Да, и цена незаметна, пока вы её не измерите. SMS-пампинг, или искусственное накручивание трафика, — это мошенничество, при котором злоумышленники запускают OTP-сообщения на номера, на которых зарабатывают. Ограничения частоты, списки разрешённых стран, блокировки префиксов и проверки на ботов останавливают его, но слишком широкое правило отклоняет и настоящие запросы, например нового клиента из страны, с которой вы обычно не работаете. Сама атака разобрана в нашем руководстве по мошенничеству с SMS-пампингом; для этой проблемы главное такое:

• Записывайте причину каждой блокировки со страной, префиксом и названием правила.
• Сравнивайте заблокированные запросы с последующими успешными регистрациями того же пользователя или устройства. Если заблокированные на первом шаге успешно проходят со второй попытки, ваше правило вредит настоящим людям.
• Дайте заблокированным пользователям путь, а не тупик: второй канал или ссылку на поддержку.
• Пересматривайте правила после каждой кампании или запуска, потому что трафик из новых стран сначала выглядит необычно.

Как найти закономерность по отчётам о доставке?

Разбейте данные доставки по стране, оператору, имени отправителя, часу и коду ошибки и найдите один сегмент, который сбоит заметно чаще остальных. Усреднённое значение скрывает слабые места. Метод подробнее объяснён в нашем руководстве по повышению доставляемости SMS, а HLR-запрос перед отправкой может пометить неактивные номера и номера, перешедшие в другую сеть.

Какой резервный канал предложить, если SMS не работает?

Предложите второй канал после короткого фиксированного ожидания и сделайте его простым для пользователя. Обычные варианты — повторная отправка по SMS, шаблон аутентификации WhatsApp или голосовой звонок, который зачитывает код.

Наше сравнение OTP в WhatsApp и OTP по SMS, руководство по голосовому OTP и руководство по стратегии резервных каналов показывают, как выстроить порядок шагов. OTP в WhatsApp нужно отправлять как шаблон категории аутентификации Meta, поэтому собирайте его по формату шаблона аутентификации, а не как свободный текст.

Что нужно отслеживать?

Следите за конверсией OTP: долей запросов OTP, которые закончились успешной проверкой. Формула такая:

Конверсия OTP = успешные проверки / запросы OTP

Считайте её по странам, операторам, каналам и именам отправителя и настройте оповещение, когда какой-либо сегмент падает заметно ниже обычного. Добавьте медианную задержку доставки и долю запросов, заблокированных правилами защиты от мошенничества. Вместе эти три показателя говорят, в чём проблема: в охвате, скорости или в ваших собственных ограничениях.

Частые ошибки

• Сначала винить оператора. Многие сбои — это форматирование или проблемы телефона, которые показал бы отчёт о доставке.
• Короткие тексты OTP с добавками. Эмодзи и рекламный текст могут изменить кодировку и спровоцировать фильтрацию. Простое сообщение вроде Ваш код: 482913. Действует 10 минут. Никому его не сообщайте. на кириллице уходит в Unicode и всё равно вмещается в один сегмент (61 знак из 70).
• Нет лимита повторной отправки. Это приглашает к злоупотреблениям и путает пользователей несколькими действующими кодами.
• Один канал. Если SMS — единственный вариант, любая проблема с SMS превращается в проблему регистрации.
• Нет измерений. Без конверсии по сегментам вы узнаёте о сбоях из обращений в поддержку.

Чем помогает OmniChannels.ai

OmniChannels.ai на базе BroadNet отправляет OTP по прямым подключениям к операторам и возвращает статусы доставки в вашу систему через вебхуки в едином формате. Вы можете выстроить резервный канал, например WhatsApp, затем SMS или голос, для каждого сценария и пользоваться HLR и проверкой номера перед отправкой. Наша команда готовит и подаёт регистрацию имени отправителя вместе с вами. См. решение для OTP и уведомлений, прочитайте документацию по вебхукам или запросите тестовый доступ на странице для разработчиков.