收不到验证码怎么办？短信验证码排查指南

为什么验证码来得晚，或到达时已过期？

延迟通常来自线路或手机，而过期会把延迟变成失败。NIST SP 800-63B-4 规定，带外验证若不在10分钟内完成即失效，且验证码只能使用一次。这是高安全级别场景的上限，而不是目标值。请选择一个能涵盖正常送达波动、又不会让验证码开放过久的有效期。

实用规则：

• 签发新验证码时，让旧验证码失效，并告诉用户只有最新的验证码有效。
• 显示重发倒计时，避免用户反复点击，收件箱里堆满相互冲突的验证码。
• 限制尝试次数和每个号码的请求次数，以防止猜测和滥用。
• 记录发送时间、送达时间和验证时间，这样您看到的是真实的延迟，而不是猜测。

收不到验证码时，用户可以做什么？

给终端用户的一份简短清单，您可以放在验证页面或帮助内容中：

1. 检查屏幕上显示的号码。号码对吗？国家代码对吗？
2. 检查信号。移到有信号的地方，或开关一下飞行模式。
3. 查看短信应用里的垃圾短信、已拦截或“陌生发送方”文件夹。
4. 确认免打扰或通话和短信过滤没有把消息藏起来。
5. 收件箱已满的话，腾出存储空间。
6. 如果人在国外，请开启通话和短信的漫游，或改用其他方式。
7. 等待重发倒计时结束，然后只重新获取一次验证码。反复请求可能触发限制。
8. 仍然失败，请选择 WhatsApp 或语音来电等其他方式，或联系客服。

防短信泵攻击的措施会拦截真实用户吗？

会，而且如果不去衡量，这个代价是看不见的。短信泵攻击（SMS pumping），也叫人为流量膨胀，是攻击者向他们从中获利的号码触发验证码短信的欺诈手段。频率限制、国家白名单、号段拦截和机器人验证等措施能阻止它，但规则过宽会拒绝真实请求，例如来自您通常不服务的国家的新客户。我们的短信泵欺诈指南介绍了这类攻击；针对这个问题，关键点是：

• 记录每个请求被拦截的原因，包括国家、号段和规则名称。
• **把被拦截的请求与同一用户或设备之后成功的注册进行比对。**如果第一步被拦截的用户第二次尝试就成功了，说明您的规则在伤害真实的人。
• 给被拦截的用户一条出路，而不是死路：第二渠道或客服链接。
• 每次营销活动或上线后复查规则，因为来自新市场的流量一开始看起来会不寻常。

如何用送达报告找出规律？

按国家、运营商、发送方 ID、小时和错误代码切分送达数据，找出失败率远高于其他的那个细分。混合的平均值会掩盖薄弱环节。我们的提高短信送达率指南更详细地介绍了方法，发送前做 HLR 查询可以标记已停用或已更换网络的号码。

短信失败时应该提供什么备用渠道？

在一段简短、固定的等待之后提供第二渠道，并让用户用起来简单。常见选项有：短信重发、WhatsApp 身份验证模板，或把验证码读出来的语音来电。

我们对 WhatsApp 验证码与短信验证码的比较、语音验证码指南和渠道回退策略指南，展示了如何排列这些步骤的先后。WhatsApp 验证码必须作为 Meta 身份验证类别的模板发送，所以请按身份验证模板的格式构建，而不是使用自由文本。

应该监控什么？

跟踪验证码转化率：验证码请求中以验证成功告终的比例。公式如下：

验证码转化率 = 验证成功次数 / 验证码请求次数

按国家、运营商、渠道和发送方 ID 分别计算，并在任何一个细分明显低于其平时水平时设置告警。再配合送达延迟中位数和被风控规则拦截的请求占比。这三项合在一起，能告诉您问题出在触达、速度，还是您自己的风控。

常见错误有哪些？

• **先怪运营商。**许多失败其实是格式或手机问题，送达报告本可以显示出来。
• **在验证码短信里加多余内容。**emoji 和促销文字会改变编码并招致过滤。像 【品牌】验证码482913，10分钟内有效，请勿向任何人透露。 这样的简洁消息（31个字符）只占一段 Unicode 短信（70个字符以内）。
• **没有重发次数限制。**这会招致滥用，也让用户面对多个有效验证码而困惑。
• **只有单一渠道。**如果短信是唯一的选项，每个短信问题都会变成注册问题。
• **不做衡量。**没有按细分统计的转化率，您只能从客服工单中得知失败。

OmniChannels.ai 如何帮助您

由 BroadNet 提供支持的 OmniChannels.ai，通过运营商直连发送验证码，并以统一格式通过 webhook 把送达状态返回您的系统。您可以按场景设置备用顺序，例如 WhatsApp 然后短信或语音，并在发送前使用 HLR 和号码查询。我们的团队会与您一起准备并提交发送方 ID 注册。请见验证码与通知解决方案，阅读 webhook 文档，或通过开发者页面申请测试权限。