קוד אימות ב-SMS, או OTP (סיסמה חד-פעמית), הוא הדרך הנפוצה ביותר לוודא שמי שנרשם לאתר, מתחבר לחשבון או מאשר פעולה הוא באמת בעל מספר הטלפון. זה לא רק אבטחה: זה גם מסנן רישומים מזויפים, מונע חשבונות כפולים ונותן לכם מספר טלפון מאומת לכל לקוח. ובניגוד למה שחושבים, החיבור לוקח שעה, לא שבוע.
איך זה עובד, בארבעה צעדים
- המשתמש מזין מספר טלפון בטופס ההרשמה או ההתחברות.
- השרת שלכם מייצר קוד, בדרך כלל 4 עד 6 ספרות, ושומר אותו עם זמן תפוגה.
- הקוד נשלח ב-SMS דרך API: קריאה אחת מהשרת לספק ההודעות, וההודעה מגיעה תוך שניות.
- המשתמש מקליד את הקוד, השרת משווה, ומאשר או דוחה.
למה SMS ולא מייל
קוד במייל מגיע לתיבה שהמשתמש לא פתוח בה, לפעמים לספאם, ולפעמים אחרי דקות. SMS מגיע לכיס, מיד, וגם בלי אינטרנט. לכן כמעט כל בנק, חברת ביטוח ואתר רציני מאמתים בטלפון. למי שרוצה גם וגם, אפשר לשלוח SMS כברירת מחדל ולהציע מייל כגיבוי.
רוצים לשלוח קודי אימות מהקוד שלכם? פותחים חשבון ב-SMS4FREE, מקבלים מפתח API והודעות ניסיון, ומתחילים לבדוק היום.
כללי אבטחה שחייבים ליישם
- תפוגה קצרה: הקוד תקף 5 דקות, לא יותר.
- הגבלת ניסיונות: אחרי 3 עד 5 ניסיונות שגויים, הקוד נפסל ומייצרים חדש.
- הגבלת שליחות: לא יותר מקוד אחד לדקה לאותו מספר, וכמות יומית סבירה. זה מגן גם מפני בוטים שינסו לרוקן לכם את חבילת ההודעות.
- קוד אקראי באמת, לא רץ ולא מבוסס שעה.
- לא לכתוב את הקוד בלוגים ולא להחזיר אותו בתשובת ה-API ללקוח.
- ההודעה עצמה: “הקוד שלך לאתר X הוא 482913. תקף ל-5 דקות. לא מסרת? התעלם.” שם האתר בהודעה מונע הונאות התחזות.
מה צריך בצד הטכני
כל שפה שמסוגלת לבצע בקשת HTTP מתאימה: PHP, Node, Python, .NET, או אפילו וורדפרס עם קטע קוד קצר. הקריאה ל-API של SMS4FREE מקבלת מספר יעד, תוכן ושם שולח, ומחזירה סטטוס. את מבנה הקריאה, הפרמטרים ודוגמאות הקוד תמצאו בתיעוד שליחת SMS דרך API, ובמדריך המעשי למפתחים: תשתית ה-API שמחברת את הקוד שלכם לעולם.
כמה זה עולה, ומה עם החוק
קוד אימות הוא הודעה אחת, אגורות בודדות, ואין עלות קבועה. מבחינת החוק, זו הודעת שירות שהמשתמש ביקש בעצמו, ולכן מותרת גם בלי הסכמה לדיוור, כל עוד אין בה תוכן שיווקי. פירוט מלא: חוק הספאם ו-SMS לעסקים.
שאלות נפוצות
כמה ספרות כדאי?
6 ספרות הן הסטנדרט: קל להקליד, וקשה לנחש בתוך 3 ניסיונות.
מה עושים כשהקוד לא מגיע?
מציגים כפתור “שלח שוב” שנפתח אחרי 30 עד 60 שניות, ובודקים שהמספר הוזן נכון. ברוב המקרים הבעיה היא ספרה שגויה.
אפשר לשלוח את הקוד גם לחו”ל?
כן, במספר בינלאומי מלא עם קידומת מדינה. המחיר משתנה לפי היעד.
הודעות ניסיון, מפתח API ותיעוד, בלי התחייבות.
