Recomendações de Segurança Essential
É crucial implementar salvaguardas para evitar que seus serviços de Senha de Uso Único (OTP) ou Autenticação de Dois Fatores (2FA) causem um aumento inesperado nas solicitações de SMS.
Um campo de entrada de número de telefone voltado para o público é um alvo principal para o SMS Pumping, um tipo de fraude em que invasores geram intencionalmente um alto volume de solicitações de SMS. Isso pode levar a cobranças significativas e inesperadas para a sua empresa, pois as operadoras de telefonia móvel cobram por cada mensagem enviada pela rede.
Recomendamos fortemente que você se familiarize com ameaças relacionadas, como SMS Pumping, Fraude de SMS e Fraude de Compartilhamento de Receita Internacional (IRSF), para entender completamente os riscos.
Ao criar ou integrar um serviço de 2FA ou OTP, recomendamos fortemente a implementação de todas, se não de uma combinação, dessas medidas de segurança para proteger a sua plataforma:
Recomendação | Descrição |
Revisar Envio Global | |
Implementar Limitação de Taxa | Use uma abordagem de "bucket" em várias camadas para uma limitação de taxa mais eficaz, combinando vários identificadores.
|
Introduzir Atrasos de Solicitação | Aplique um período de "esfriamento" entre solicitações consecutivas do mesmo número de telefone, como permitir apenas uma solicitação a cada 90 segundos. |
Definir Monitoramento & Alertas | Crie alertas automatizados para notificá-lo sobre picos incomuns no tráfego de SMS ou solicitações de alta velocidade originadas de regiões específicas ou intervalos de IP. |
Estabelecer Limites de Uso | Defina limites de uso claros e aplique cortes automaticamente assim que esses limites forem atingidos. Isso atua como um suporte crítico para evitar custos fora de controle. |
Considerar Regras Regionais | Esteja ciente de que os padrões de fraude e os planos de numeração variam de acordo com o país. Sua lógica de segurança pode precisar ser adaptada para diferentes regiões. |
Consultar um Especialista em Segurança | Se você não tiver certeza sobre a melhor implementação para o seu caso de uso, consulte um profissional de segurança para revisar a sua arquitetura. |
Como enviar um OTP por SMS
Você pode usar a ClickSend para configurar a Autenticação de 2 Fatores para o seu aplicativo/site. Para fazer isso:
Gere o OTP em seu código, por ex., "1234" e armazene-o (em um banco de dados em seu servidor).
Chame o nosso ponto de extremidade de POST sms/send.
Permita que o usuário insira o OTP.
Seu script deve validá-lo com o OTP armazenado.
É recomendável que você imponha limites para o número máximo de vezes que um usuário pode enviar um OTP e também quantas vezes ele pode tentar adivinhar o OTP.