Как работает SMS-верификация

Шаг за шагом: что происходит после нажатия «Отправить код»

1. 01Приложение проверяет формат номера и страну и часто запрашивает данные о типе линии и репутации номера.
2. 02Сервер генерирует случайный одноразовый пароль (OTP), обычно от 4 до 8 цифр, и сохраняет его — или его хеш — вместе со сроком действия.
3. 03Сервер передаёт сообщение SMS-провайдеру, который маршрутизирует его через сети операторов к текущему оператору номера.
4. 04Оператор доставляет SMS на телефон или линию, связанную с номером.
5. 05Вы вводите код в приложении, а оно сравнивает его с сохранённым значением и проверяет, что код не истёк и не был использован.
6. 06Если код совпал, номер отмечается как подтверждённый и привязывается к вашему аккаунту.

A2P SMS, имена отправителей и короткие номера

Коды подтверждения — это A2P-сообщения (application-to-person), которые отправляет программа, а не человек. Они идут по маршрутам, которые операторы обрабатывают иначе, чем обычные SMS между людьми, — часто с обязательной регистрацией отправителей и спам-фильтрацией.

Поле «От кого» зависит от страны. Это может быть буквенное имя отправителя длиной до 11 символов, например название бренда; короткий номер из пяти-шести цифр; бесплатный номер; или обычный длинный номер. В США, например, компании, отправляющие SMS с обычных 10-значных номеров, обязаны регистрировать эти номера для рассылок от приложений, а незарегистрированный трафик фильтруется всё жёстче.

Буквенное имя отправителя

Название бренда до 11 символов; распространено за пределами Северной Америки

Короткий номер

Номер из 5–6 цифр для массовых рассылок

Длинный номер

Обычный телефонный номер в роли отправителя

Длина OTP

Обычно 4–8 цифр

Типичный срок жизни OTP

Несколько минут, чаще всего 5–10

Срок действия кода, повторы и звонок вместо SMS

Коды специально делают короткоживущими. Код, который истекает через несколько минут и годится только один раз, сложно использовать повторно, даже если кто-то увидит его позже. Большинство приложений также ограничивают число неверных попыток и частоту запросов нового кода — поэтому слишком частая повторная отправка может заблокировать вас на несколько часов.

Если SMS не приходит, многие приложения предлагают голосовой звонок: автоматическая система звонит на номер и диктует код. Звонок идёт другим путём, чем A2P-сообщение, поэтому часто срабатывает, когда проблема в SMS-фильтрации или задержке доставки.

Зачем приложениям ваш номер телефона

• Защита от злоупотреблений: номер телефона сложнее создать массово, чем e-mail, поэтому требование номера делает спам и фейковые аккаунты дороже.
• Один аккаунт на человека: мессенджеры и маркетплейсы используют номер как уникальный идентификатор.
• Восстановление аккаунта: если вы забыли пароль, код на ваш номер подтверждает, что это вы.
• Уведомления о безопасности и двухфакторная аутентификация при новых входах и важных изменениях.
• Поиск контактов в мессенджерах: по вашему номеру вас находят друзья.

Как приложения проверяют, какой номер вы ввели

Прежде чем тратить деньги на SMS, многие приложения проверяют номер. Базы типов линий сообщают, мобильный ли это номер, стационарный или VoIP, какой оператор его сейчас обслуживает (с учётом переноса номеров) и иногда — сигналы риска, например как часто номер встречался при регистрациях.

Политики разные. Одни приложения принимают любой действительный номер; многие блокируют VoIP и стационарные номера для верификации; некоторые ограничивают и страны регистрации. Поэтому один и тот же запрос кода может пройти на одном номере и молча не сработать на другом. Реальный мобильный номер в официальном мобильном формате страны проходит проверку типа линии, которую применяет большинство приложений.

Насколько безопасна SMS-верификация?

SMS-коды хорошо доказывают, что номер под вашим контролем, и защищают от массовых злоупотреблений. Но как второй фактор для ценных аккаунтов они имеют известные слабости.

• SIM-swap: злоумышленник убеждает оператора перевести ваш номер на свою SIM и получает ваши коды.
• Повторная выдача номеров: если вы отказались от номера, его следующий владелец может получать коды для аккаунтов, всё ещё к нему привязанных.
• Фишинг: поддельные сайты просят ввести только что полученный код и сами им пользуются.
• Перехват: SMS не защищены сквозным шифрованием и могут быть перехвачены через уязвимости устаревших протоколов сигнализации.

Приложения-аутентификаторы и SMS-коды

Откуда берётся код

SMS: его отправляет сервис по телефонной сети. Аутентификатор: генерируется на вашем устройстве

Нужны ли связь или номер

SMS: да. Аутентификатор: нет

Риск SIM-swap

SMS: есть. Аутентификатор: нет

Риск фишинга

Фишингу подвержены оба; лучше всего от него защищают аппаратные ключи безопасности

Где обязательно

Многие регистрации и банки по-прежнему требуют SMS; аутентификатор — это дополнительная 2FA по желанию

Хорошие практики SMS-верификации

• Используйте номер, который сохраните на годы, а не временный или общий.
• Никому не сообщайте код подтверждения — даже тем, кто называет себя сотрудником поддержки.
• Установите у оператора PIN-код или защиту от переноса номера, если это возможно, чтобы снизить риск SIM-swap.
• Переходите на приложение-аутентификатор или ключ безопасности для 2FA везде, где сервис это позволяет.
• Храните резервные коды важных аккаунтов в надёжном месте.
• Подумайте об отдельном номере для регистраций, чтобы личный номер оставался приватным.

Отдельный номер в SMSCreation

1. 01Выберите страну — доступно 181 — и возьмите реальный мобильный номер из списка.
2. 02Выберите годовой тариф за $1.80 в месяц ($21.60 при оплате за год) или другой срок, показанный при оформлении заказа.
3. 03Оплатите USDT или USDC в сети Tron, Polygon, BNB Smart Chain, Base или Solana. Для регистрации нужен только e-mail.
4. 04Когда приложение попросит номер, введите его в международном формате. Коды мгновенно появляются во входящих SMS личного кабинета, а если приложение предлагает код звонком, входящие звонки безлимитные.

Почему номер работает с WhatsApp, Facebook, Telegram и Google

Приложения проверяют не только цифры: они смотрят тип линии, формат страны и может ли номер действительно получить их код. Каждый номер SMSCreation — реальный мобильный номер в официальном формате своей страны, а не VoIP-линия, поэтому он проходит эти проверки так же, как SIM-карта в вашем телефоне.

И мы за это отвечаем: гарантия замены 7 дней. Если ваш номер не работает с WhatsApp, Facebook, Telegram, Google или любым нужным вам приложением, мы бесплатно заменим его новым номером той же страны — или вернём 100%, если хотите.

• Номер не VoIP, реальная мобильная линия — проверки типа линии видят обычный номер SIM-карты, а не VoIP
• Официальный формат страны с правильным кодом страны, префиксом и количеством цифр
• Безлимитные входящие SMS и звонки — коды приходят сообщением или через опцию «позвонить мне»
• Только ваш — никогда не публикуется на открытых SMS-сайтах, поэтому не блокируется и не ограничивается
• Ваш сколько угодно — повторная верификация и восстановление аккаунта продолжают работать

Когда пригодится отдельный реальный мобильный номер

Отдельный реальный мобильный номер даёт стабильную приватную линию для верификации, которая проходит проверку типа линии и остаётся под вашим контролем. Номера SMSCreation включают безлимитные входящие SMS и звонки, 500 исходящих SMS и 1000 исходящих минут в месяц — от $1.80 в месяц на годовом тарифе ($21.60 при оплате за год). Номер остаётся вашим, пока вы его продлеваете, а если с него не было ни одного звонка или SMS, можно получить полный возврат в течение 7 дней после активации.