SMS ve WhatsApp için OTP Mesajı Oluşturucu

İyi bir OTP SMS şablonunda neler bulunur

Doğrulama mesajının tek bir görevi vardır: doğru kodu doğru kişiye hızlıca, kötüye kullanılması zor bir biçimde ulaştırmak. Çoğu kullanıcı kodu kilit ekranı bildiriminden okur ve bildirim yalnızca ilk satırı gösterir. Kodu başa ya da başa yakın koyun ve markayı net yazın ki kullanıcı hangi hizmetin gönderdiğini bilsin.

Uzunluk maliyeti ve güvenilirliği etkiler. GSM-7 bir SMS 160 karakter alır. Mesaj bölündüğünde her parça 153 karakter alır. GSM-7 alfabesi dışındaki tek bir karakter (Arapça bir harf, emoji, kıvrık kesme işareti ya da "ó" veya "ç" gibi aksanlı bir harf) tüm mesajı UCS-2'ye geçirir. Bu durumda sınır 70 karaktere, bölünmüş parçalarda 67'ye düşer. İki parçalı bir OTP iki kat maliyetlidir ve bir parçanın geç ulaşma olasılığı biraz daha yüksektir. Oluşturucu her varyant için kodlamayı ve segment sayısını gösterir; İspanyolca, Portekizce ve Fransızca mesajların GSM-7'de kalması için aksanlı harfleri sade harflerle değiştirebilir.

• Kod başta ya da başa yakın: "482913 Acme kodunuzdur" bildirim önizlemesinde görünür.
• Marka adı: kullanıcıya kodu hangi hizmetin gönderdiğini söyler ve oltalamayı zorlaştırır.
• Geçerlilik süresi: "5 dakika geçerlidir" beklenti oluşturur ve kötüye kullanımı sınırlar.
• Uyarı: "Bu kodu, çalışanlarımız dahil kimseyle paylaşmayın."
• Bağlantı yok: operatörler URL içeren OTP'leri sık filtreler ve bağlantılar kullanıcıları oltalama sayfalarına tıklamaya alıştırır.

Android otomatik doldurma: SMS Retriever biçimi

Google'ın SMS Retriever API'si, bir Android uygulamasının SMS izni olmadan ve kullanıcı hiçbir şey yazmadan doğrulama SMS'ini okumasını sağlar. Google'ın belgelerine göre mesaj en fazla 140 bayt olmalı, tek kullanımlık kodu içermeli ve uygulamanızı tanımlayan 11 karakterlik bir hash dizesi taşımalıdır. 140 baytlık sınır 160 GSM-7 karakterine veya 70 UCS-2 karakterine eşittir; yani pratikte mesajın tek SMS'e sığması gerekir.

Hash, paket adınızın ve imza sertifikanızın SHA-256 özetinin base64 kodlamasının ilk 11 karakteridir. Google'ın kendi örneği bunu sonda ayrı bir satıra koyar: "Your ExampleApp code is: 123ABC78", bir boş satır, ardından "FA+9qCX9VSu". Hash'i üretim keystore'unuzdan hesaplayın ve sunucuda sabit olarak tanımlayın. Google, istemcide dinamik olarak hesaplanan hash dizelerinin kullanılmamasını söyler. Belgelerin eski sürümleri mesajın "<#>" ile başlamasını gerektiriyordu. Güncel sayfa bu öneki listelemiyor. Zararı yoktur ancak 4 karakter harcar. Mesaj biçimini kontrol edemiyorsanız alternatif SMS User Consent API'dir: kullanıcı tek dokunuşla uygulamanızın o tek mesajı okumasına izin verir.

iPhone ve web otomatik doldurma: alan adına bağlı kodlar

iOS ve macOS gelen SMS'lerdeki kodları algılar ve alan tek kullanımlık kod alanı olarak işaretlendiğinde klavyenin üstünde önerir: yerel uygulamada textContentType = .oneTimeCode, HTML girdisinde autocomplete="one-time-code"; bu, Apple'ın geliştirici belgelerinde anlatılır. iOS 14 ve macOS Big Sur'dan beri Safari ayrıca köken bağlı tek kullanımlık kodları da destekler; bu biçim WICG'nin "Origin-bound one-time codes delivered via SMS" belirtiminde tanımlanmıştır.

Bu biçimde mesajın son satırı "@example.com #747723" olur: önünde @ olan alan adı, tam olarak bir boşluk, ardından önünde # olan kod. İsteğe bağlı üçüncü bir değer olan "@embedded.example" gömülü bir siteyi belirtir. Son satırdan önce insanların okuyacağı metin gelebilir. Değerler arasında başka herhangi bir metin satırı geçersiz kılar. Otomatik doldurma bu durumda kodu yalnızca o alan adında ya da onunla ilişkili uygulamalarda önerir ve bu da oltalamayı çok zorlaştırır. Oluşturucu, Android hash'ini ve alan adına bağlı son satırı birlikte taşıyan birleşik bir mesaj üretir; Latin alfabeli dillerde bu mesaj yine de 140 bayta sığar. Arapçada Android ve iOS biçimlerini ayrı gönderin.

WhatsApp kimlik doğrulama şablonları: neyi değiştirebilir, neyi değiştiremezsiniz

WhatsApp tek kullanımlık şifre göndermek için kimlik doğrulama şablonu ister ve gövdeyi Meta sabitler. İngilizcede "<code> is your verification code." şeklindedir. Meta'nın güvenlik satırını ("For your security, do not share this code.") ve code_expiration_minutes değeri 1 ile 90 arasında olan bir geçerlilik alt bilgisini ("This code expires in <N> minutes.") ekleyebilirsiniz. Her dil sürümü Meta'nın kendi sabit çevirisini kullanır. URL, medya ve emoji desteklenmez.

Düğmeyi siz seçersiniz. Kodu kopyala her yerde çalışır. Tek dokunuşla otomatik doldurma, Android uygulamanızı kodla açar ve paket adınızı, imza hash'inizi ve bir el sıkışma gerektirir. Sıfır dokunuş (yalnızca Android) düğmesizdir: WhatsApp kodu doğrudan uygulamanıza yayınlar. iOS 26 ve sonrasında klavye önerileri kodu bildirimden hiçbir entegrasyon olmadan sunar. Kod en fazla 15 karakter olabilir ve gönderim isteğinde iki kez geçer: gövde parametresi olarak ve düğme parametresi olarak (sub_type "url"). Kodu kopyala düğmesinin metni 25 karakterle sınırlıdır. Eskimiş kodların geç iletilmemesi için message_send_ttl_seconds değerini ayarlayın. Meta ayrıca Cloud API'de kimlik doğrulama mesajlarını yalnızca kullanıcının birincil cihazına iletir; bağlı cihazlar maskelenmiş bir istem görür.

Güvenlik kontrol listesi ve yedekleme stratejisi

Mesaj işin kolay kısmıdır. OTP dolandırıcılığının ve maliyet aşımlarının çoğu, etrafındaki zayıf kurallardan gelir. Bunlar yaygın olarak kullanılan önerilerdir, yasal zorunluluk değildir. Rakamları kendi riskinize göre uyarlayın.

Teslimat için kademeli bir akış kullanın. Kullanıcıda WhatsApp varsa önce onu deneyin, kısa bir zaman aşımından sonra (örneğin teslim raporu gelmeden 30 ila 60 saniye) SMS'e geçin ve sabit hatlar ile zayıf kapsama alanı için son çare olarak kodu okuyan bir sesli arama sunun. GCC'de OTP işlem trafiğidir; bu yüzden BAE'nin "AD-" gönderici öneki gibi reklam kuralları geçerli değildir. SMS başlığınızın (Sender ID) yine de çoğu pazarda kayıtlı olması gerekir, bu yüzden yayından önce yerel kuralları kontrol edin.

• 6 hane yaygın varsayılandır; kodları kriptografik olarak güvenli bir rastgele üreteçle üretin.
• Kısa geçerlilik (5 ila 10 dakika), tek kullanım ve koddan yalnızca hash saklama.
• Telefon numarası ve IP başına gönderimi sınırlayın, yeniden gönderme bekleme süresi uygulayın ve yaklaşık 5 yanlış denemeden sonra kilitleyin.
• Yalnızca hizmet verdiğiniz hedef ülkelere izin vererek SMS pumping'i (yapay olarak şişirilmiş trafik) önleyin.
• Kodu asla bağlantıya veya URL'ye koymayın ve kullanıcılardan kodu bir temsilciye okumalarını istemeyin.