SMS OTP — kata sandi satu kali — adalah kode numerik pendek yang dikirim melalui pesan teks untuk memverifikasi bahwa siapa pun yang mencoba masuk, menyelesaikan pembayaran, atau mengatur ulang kata sandi benar-benar memiliki akses ke nomor telepon yang tercatat. Ini digunakan sekali dan segera habis masa berlakunya, biasanya dalam lima hingga lima belas menit.
Cara Kerjanya
- Seorang pengguna mencoba tindakan sensitif — masuk, melakukan pembayaran, menyetel ulang kata sandi.
- Sistem menghasilkan kode acak sekali pakai dan mengirimkannya melalui SMS ke nomor telepon yang terikat dengan akun.
- Pengguna memasukkan kode itu kembali ke aplikasi atau situs web dalam jendela masa berlaku.
- Sistem mengonfirmasi kecocokan kode dan membiarkan tindakan dilanjutkan.
Mengapa SMS Secara Khusus
SMS OTP berfungsi sebagai verifikasi faktor kedua karena bergantung pada sesuatu yang dimiliki pengguna secara fisik — ponsel mereka — yang terpisah dari sesuatu yang mereka ketahui, seperti kata sandi. Bahkan jika kata sandi dicuri atau ditebak, penyerang yang tidak memiliki akses fisik ke telepon (atau kendali atas nomornya) biasanya tidak dapat menyelesaikan login. SMS digunakan melalui saluran lain terutama karena tidak memerlukan aplikasi, tidak ada koneksi internet, dan berfungsi di hampir semua ponsel.
Kegunaan Umum
- Otentikasi dua faktor untuk login
- Mengonfirmasi pembayaran atau mengubah detail akun
- Memverifikasi nomor telepon saat mendaftar akun
- Mengotorisasi pengaturan ulang kata sandi
Apakah SMS OTP Aman?
SMS OTP merupakan peningkatan keamanan yang signifikan dibandingkan kata sandi saja, namun ini bukan faktor kedua yang paling kuat — SMS OTP rentan terhadap penipuan pertukaran SIM, yaitu ketika penyerang meyakinkan operator untuk mentransfer nomor korban ke SIM baru, atau melakukan intersepsi pada jaringan yang tidak aman. Untuk sebagian besar aplikasi konsumen, standar ini tetap praktis dan memiliki gesekan rendah; kasus penggunaan dengan keamanan lebih tinggi semakin banyak yang memasangkannya dengan, atau menggantinya dengan, aplikasi autentikator atau kunci perangkat keras.
Praktik Terbaik untuk Bisnis yang Mengirim OTP
- Jaga agar masa kadaluwarsa tetap singkat — biasanya lima hingga sepuluh menit.
- Rutekan lalu lintas OTP melalui jalur pengiriman khusus dan berprioritas tinggi, bukan antrean yang sama seperti pesan pemasaran.
- Batasi seberapa sering kode dapat diminta untuk nomor yang sama, untuk mencegah penyalahgunaan.
- Jangan pernah menyertakan apa pun selain kode dan instruksi singkat — Pesan OTP adalah target phishing yang umum untuk teks yang mirip.