Генератор OTP-сообщений для SMS и WhatsApp

Из чего состоит хороший шаблон OTP-SMS

У сообщения с кодом подтверждения одна задача: быстро доставить нужный код нужному человеку так, чтобы им было сложно злоупотребить. Большинство пользователей читают код в уведомлении на экране блокировки, где видна только первая строка. Поставьте код в начало или рядом с ним и чётко укажите бренд, чтобы пользователь понимал, какой сервис отправил сообщение.

Длина влияет на стоимость и надёжность. В SMS в кодировке GSM-7 помещается 160 символов. Если сообщение разбито на части, в каждой помещается 153 символа. Один-единственный символ вне алфавита GSM-7, например арабская буква, эмодзи, изогнутый апостроф или буква с диакритическим знаком вроде «ó» или «ç», переводит всё сообщение в UCS-2. Тогда лимит падает до 70 символов, или 67 на часть. OTP из двух частей стоит вдвое дороже, и вероятность того, что одна из частей придёт с опозданием, немного выше. Генератор показывает кодировку и число сегментов для каждого варианта и умеет заменять буквы с диакритикой на простые, чтобы сообщения на испанском, португальском и французском оставались в GSM-7.

• Код в начале или близко к нему: «482913 is your Acme code» отображается в предпросмотре уведомления.
• Название бренда: показывает, какой сервис отправил код, и затрудняет фишинг.
• Срок действия: фраза «Код действует 5 минут» задаёт ожидания и ограничивает возможность злоупотреблений.
• Предупреждение: «Никому не сообщайте этот код, включая наших сотрудников.»
• Без ссылок: операторы часто фильтруют OTP со ссылками, а ссылки приучают пользователей переходить по фишинговым адресам.

Автозаполнение на Android: формат SMS Retriever

SMS Retriever API от Google позволяет Android-приложению прочитать SMS с кодом подтверждения без разрешения на доступ к SMS и без ввода кода пользователем. Согласно документации Google, сообщение не должно превышать 140 байт, должно содержать одноразовый код и 11-символьную хеш-строку, идентифицирующую ваше приложение. Лимит в 140 байт равен 160 символам GSM-7 или 70 символам UCS-2, поэтому на практике сообщение должно уместиться в одну SMS.

Хеш — это первые 11 символов хеша SHA-256 от имени пакета и сертификата подписи, закодированного в base64. В примере Google хеш стоит отдельной строкой в конце: «Your ExampleApp code is: 123ABC78», пустая строка, затем «FA+9qCX9VSu». Вычислите хеш по production-хранилищу ключей и зафиксируйте его на сервере. Google советует не использовать хеш-строки, вычисленные динамически на клиенте. В старых версиях документации требовалось, чтобы сообщение начиналось с «<#>». В текущей версии этого префикса нет. Он не мешает, но занимает 4 символа. Если вы не можете управлять форматом сообщения, есть альтернатива — SMS User Consent API: пользователь одним касанием разрешает приложению прочитать это единственное сообщение.

Автозаполнение на iPhone и в вебе: коды с привязкой к домену

iOS и macOS распознают коды во входящих SMS и предлагают их над клавиатурой, если поле помечено как поле для одноразового кода: textContentType = .oneTimeCode в нативном приложении или autocomplete="one-time-code" в HTML-поле, как описано в документации Apple для разработчиков. Начиная с iOS 14 и macOS Big Sur Safari также поддерживает одноразовые коды с привязкой к источнику (origin-bound) — формат, описанный в спецификации WICG «Origin-bound one-time codes delivered via SMS».

В этом формате последняя строка сообщения выглядит так: «@example.com #747723». Сначала домен с символом @ впереди, затем ровно один пробел, затем код с символом # впереди. Необязательное третье значение «@embedded.example» указывает встроенный сайт. Текст для человека может стоять перед последней строкой. Любой другой текст между значениями делает строку недействительной. Тогда автозаполнение предлагает код только на этом домене или в связанных с ним приложениях, и фишинг становится значительно сложнее. Генератор собирает комбинированное сообщение с хешем для Android и последней строкой с привязкой к домену, которое для языков на латинице по-прежнему укладывается в 140 байт. Для арабского отправляйте форматы для Android и iOS отдельно.

Шаблоны аутентификации WhatsApp: что можно менять, а что нет

Для отправки одноразовых паролей в WhatsApp нужен шаблон аутентификации (authentication), и тело сообщения в нём зафиксировано Meta. На английском оно звучит так: «<code> is your verification code.» Можно добавить строку безопасности от Meta «For your security, do not share this code.» и нижний колонтитул со сроком действия «This code expires in <N> minutes.», где code_expiration_minutes принимает значения от 1 до 90. В каждой языковой версии используется собственный фиксированный перевод Meta. URL, медиафайлы и эмодзи не поддерживаются.

Кнопку выбираете вы. Кнопка «Копировать код» работает везде. Автозаполнение в одно касание (one-tap) открывает ваше Android-приложение с кодом и требует имя пакета, хеш подписи и handshake. Zero-tap (только Android) обходится без кнопки: WhatsApp передаёт код прямо в ваше приложение. В iOS 26 и новее клавиатура предлагает код из уведомления без какой-либо интеграции. Код может содержать до 15 символов и дважды указывается в запросе на отправку: как параметр тела и как параметр кнопки (sub_type «url»). Текст кнопки «Копировать код» ограничен 25 символами. Задайте message_send_ttl_seconds, чтобы устаревшие коды не доставлялись с опозданием. Кроме того, Meta доставляет сообщения аутентификации через Cloud API только на основное устройство пользователя, а на связанных устройствах отображается скрытое уведомление.

Чек-лист по безопасности и стратегия резервных каналов

Само сообщение — самая простая часть. Большинство случаев мошенничества с OTP и перерасхода бюджета связано со слабыми правилами вокруг него. Это широко применяемые рекомендации, а не юридические требования. Подберите значения под ваш уровень риска.

Для доставки используйте каскад. Сначала отправьте код в WhatsApp, если он есть у пользователя, затем через короткий тайм-аут (например, 30–60 секунд без отчёта о доставке (DLR)) переключитесь на резервный канал (fallback) — SMS, а в крайнем случае предложите голосовой звонок с озвучиванием кода для стационарных телефонов и зон со слабым покрытием. В странах Персидского залива (GCC) OTP относится к транзакционному трафику, поэтому правила для рекламных рассылок, например префикс «AD-» в имени отправителя в ОАЭ, к нему не применяются. Однако имя отправителя (альфа-имя) в большинстве рынков всё равно нужно регистрировать, поэтому перед запуском проверьте местные правила.

• Стандартный вариант — 6 цифр; генерируйте коды криптографически стойким генератором случайных чисел.
• Короткий срок действия (5–10 минут), одноразовое использование, храните только хеш кода.
• Ограничивайте число отправок на номер телефона и на IP-адрес, вводите паузу перед повторной отправкой и блокируйте после примерно 5 неверных попыток.
• Защититесь от SMS pumping (искусственного завышения трафика): разрешайте только те страны назначения, в которых вы работаете.
• Никогда не помещайте код в ссылку или URL и не просите пользователей называть его оператору.