אימות טלפון ב-SMS: איך עוצרים הזמנות מזויפות והרשמות של בוטים

חנות מקבלת הזמנה במזומן במסירה. השליח יוצא, מתקשר למספר שבהזמנה, ואף אחד לא עונה, כי המספר שגוי או מומצא. אתר אחר מגלה שבן לילה נפתחו בו מאות חשבונות, כולם של בוטים. בשני המקרים הבעיה זהה: אף אחד לא בדק שהמספר שהוקלד באמת שייך למי שהקליד אותו.

מה קוד אימות ב-SMS עושה

האתר שולח קוד חד-פעמי, בדרך כלל 4 עד 6 ספרות, למספר שהוקלד. רק מי שמחזיק את הטלפון רואה את הקוד, ורק אחרי שהקוד הוזן הטופס ממשיך. כך המספר שנשמר בהזמנה או בחשבון הוא מספר שעונה, ושייך לאדם שמילא את הטופס.

איפה כדאי להפעיל אותו

• הזמנות במזומן במסירה. כאן הזמנה מזויפת עולה הכי הרבה: משלוח שחוזר, מלאי שנתקע וזמן של שליח. אפשר לבקש קוד רק בהזמנות האלה, ולהשאיר את התשלום בכרטיס בלי שלב נוסף.
• הרשמה לאתר. בוט שפותח חשבונות בכמויות צריך מספר נייד אמיתי לכל חשבון, וזה עוצר את רובם או מייקר אותם מאוד.
• כניסה של מנהלי האתר. סיסמה שדלפה לא מספיקה כדי להיכנס, כשנדרש גם קוד שמגיע לנייד של המנהל.

מה לא לעשות

• לא לבקש קוד מכל מבקר בכל צעד. כל שלב נוסף מאבד חלק מהלקוחות, ולכן מפעילים קוד רק איפה שהנזק מהזיוף גדול.
• לא להשאיר את הטופס פתוח לשליחה בלי הגבלה. כל קוד הוא מסרון בתשלום, ובוט שמגלה טופס כזה יכול לשלוח אלפי קודים. על זה בהרחבה במאמר על הגנה על טופס קוד אימות.
• לא לשמור את הקוד כטקסט במסד הנתונים. שומרים רק גיבוב של הקוד עם מפתח סודי שאינו במסד הנתונים (HMAC), כך שמי שקורא את המסד לא יכול לשחזר אותו.

איך מוסיפים את זה בלי לכתוב קוד

באתר וורדפרס, התוסף Meser10 OTP לוורדפרס מוסיף קוד ב-SMS להרשמה, לקופה של WooCommerce ולכניסה של משתמשים בתפקידים שתבחרו, עם מגבלות שליחה מובנות. השלבים וצילומי המסך נמצאים במדריך ההתקנה של התוסף.

באתר או באפליקציה שנבנו בקוד, יש חבילות מוכנות ל-Node.js, Python ו-PHP, שמטפלות ביצירת הקוד, בתוקף ובמגבלת הניסיונות. הפרטים במדריך OTP למפתחים.