Raccomandazioni essenziali per la sicurezza
È fondamentale implementare delle salvaguardie per evitare che i tuoi servizi di password monouso (OTP) o di autenticazione a due fattori (2FA) causino un aumento imprevisto delle richieste SMS.
Un campo di inserimento del numero di telefono rivolto al pubblico è un bersaglio primario per l'SMS Pumping, un tipo di frode in cui gli aggressori generano intenzionalmente un volume elevato di richieste SMS. Ciò può comportare addebiti significativi e imprevisti per la tua azienda, poiché gli operatori mobili fatturano ogni messaggio inviato tramite la rete.
Ti consigliamo vivamente di familiarizzare con le minacce correlate, come SMS Pumping, SMS Fraud e International Revenue Sharing Fraud (IRSF), per comprendere appieno i rischi.
Quando crei o integri un servizio 2FA o OTP, ti consigliamo vivamente di implementare tutte queste misure di sicurezza, o almeno una loro combinazione, per proteggere la tua piattaforma:
Raccomandazione | Descrizione |
Rivedi l'invio globale | |
Implementa la limitazione della frequenza | Usa un approccio "bucket" multilivello per una limitazione della frequenza più efficace combinando diversi identificatori.
|
Introduci ritardi nelle richieste | Imponi un periodo di "cool-down" tra richieste consecutive dallo stesso numero di telefono, ad esempio consentendo una sola richiesta ogni 90 secondi. |
Configura monitoraggio e avvisi | Crea avvisi automatizzati per notificarti picchi insoliti nel traffico SMS o richieste ad alta velocità provenienti da regioni o intervalli IP specifici. |
Stabilisci soglie di utilizzo | Definisci limiti di utilizzo chiari e applica automaticamente dei blocchi una volta raggiunte tali soglie. Questo funge da barriera critica per prevenire costi fuori controllo. |
Considera le regole regionali | Tieni presente che i modelli di frode e i piani di numerazione variano in base al paese. La tua logica di sicurezza potrebbe dover essere adattata per diverse regioni. |
Consulta un esperto di sicurezza | Se non sei sicuro dell'implementazione migliore per il tuo caso d'uso, consulta un professionista della sicurezza per rivedere la tua architettura. |
Come inviare una OTP tramite SMS
Puoi usare ClickSend per configurare l'autenticazione a due fattori per la tua app/sito web. Per farlo:
Genera la OTP nel tuo codice (es. "1234") e memorizzala (in un database sul tuo server).
Chiama il nostro endpoint POST sms/send.
Consenti all'utente di inserire la OTP.
Il tuo script dovrebbe convalidarla rispetto alla OTP memorizzata.
Si consiglia di inserire dei limiti per il numero massimo di volte in cui un utente può inviare una OTP e anche per quante volte può tentare di indovinare la OTP.