Um SMS OTP – senha de uso único – é um código numérico curto enviado por mensagem de texto para verificar se quem está tentando fazer login, concluir um pagamento ou redefinir uma senha realmente tem acesso ao número de telefone registrado. É usado uma vez e expira logo depois, geralmente dentro de cinco a quinze minutos.
Como funciona
- Um usuário tenta uma ação confidencial – fazer login, efetuar um pagamento, redefinir uma senha.
- O sistema gera um código aleatório de uso único e o envia por SMS para o número de telefone vinculado à conta.
- O usuário insere esse código novamente no aplicativo ou site dentro da janela de validade.
- O sistema confirma a correspondência do código e permite que a ação prossiga.
Por que SMS especificamente
O SMS OTP funciona como uma verificação de segundo fator porque depende de algo que o usuário possui fisicamente – seu telefone – separado de algo que ele conhece, como uma senha. Mesmo que uma senha seja roubada ou adivinhada, um invasor sem acesso físico ao telefone (ou controle de seu número) geralmente não consegue concluir o login. O SMS é usado em outros canais principalmente porque não precisa de aplicativo, nem de conexão com a Internet e funciona em praticamente todos os telefones.
Usos comuns
- Autenticação de dois fatores para logins
- Confirmando um pagamento ou uma alteração nos detalhes da conta
- Verificando um número de telefone durante a inscrição na conta
- Autorizando uma redefinição de senha
O SMS OTP é seguro?
O SMS OTP é uma melhoria significativa na segurança em relação à senha por si só, mas não é o segundo fator mais forte possível – pode ser vulnerável à fraude de troca de SIM, onde um invasor convence uma operadora a transferir o número da vítima para um novo SIM, ou à interceptação em redes mal seguras. Para a maioria das aplicações de consumo, continua a ser um padrão prático e de baixo atrito; casos de uso de maior segurança cada vez mais o associam ou substituem por aplicativos autenticadores ou chaves de hardware.
Melhores práticas para empresas que enviam OTP
- Mantenha o prazo de validade curto – cinco a dez minutos é o normal.
- Roteie o tráfego OTP por meio de um caminho de envio dedicado e de alta prioridade, em vez da mesma fila das mensagens de marketing.
- Limite a frequência com que um código pode ser solicitado para o mesmo número, para evitar abusos.
- Nunca inclua nada além do código e de uma breve instrução – mensagens OTP são um alvo comum de phishing para textos semelhantes.