Receba códigos OTP online

Uma senha de uso único (OTP, de one-time password) é um segredo curto que um serviço gera para um único uso e depois descarta. Duas propriedades a definem: funciona uma vez e para de funcionar pouco depois de ser emitida.

Ela chega por um entre vários canais, e eles não são equivalentes. O SMS é o mais amplamente suportado e é o que estes números atendem. Os aplicativos autenticadores geram o código no seu dispositivo a partir de um segredo compartilhado, sem rede no caminho. O e-mail é comum como alternativa. A voz lê os dígitos em uma ligação. Só o primeiro tem a ver com um número de telefone que você pode alugar.

A ordem das etapas é todo o segredo:

1. Peça o número primeiro. Escolha o serviço para o qual você precisa do código e deixe o número ser emitido antes de tocar no formulário de cadastro.
2. Informe-o no site. Cole o número no campo que o pede e aperte enviar.
3. Acompanhe o pedido. A mensagem aparece conforme a operadora a entrega — não há nada para atualizar nem caixa de entrada para sincronizar.
4. Use o código imediatamente. Quando você o lê, ele já gastou parte da própria validade.

O erro comum é fazer o primeiro e o segundo passo na ordem inversa: pedir o OTP e só depois ir comprar um número. O serviço iniciou o cronômetro quando você apertou enviar, e você está gastando essa janela no pagamento.

Sempre há duas contagens regressivas correndo, e nenhuma delas é mostrada a você por inteiro.

O relógio do serviço começa quando você pede o código e normalmente dura poucos minutos. O relógio do número começa quando o pedido é criado e aparece no pedido. Um código que chega dentro da segunda janela, mas fora da primeira, é entregue, aparece na tela e já não serve para nada — e é por isso que “o código chegou, mas diz que é inválido” é um desfecho tão comum.

Na prática: não peça o OTP até ter o número na sua frente, e não dispare vários pedidos esperando que um deles chegue. Pedidos repetidos normalmente invalidam os códigos anteriores e podem acionar um limite que faz o serviço parar de enviar por um tempo.

Siga nesta ordem, porque cada passo descarta uma possibilidade:

• Olhe o pedido, e não o formulário de cadastro. A mensagem aparece no pedido assim que a operadora a repassa; o formulário não tem como saber.
• Se o número expirou vazio, cancele-o. O valor é devolvido quando nada foi entregue.
• Peça mais uma vez com um número novo e informe-o no site imediatamente.
• Se um segundo número também não receber nada, o serviço está recusando o número, e não perdendo a mensagem — outro serviço, ou outra abordagem para essa conta, é a única coisa que muda o resultado.

O que não ajuda é tentar de novo no mesmo número. Se uma mensagem nunca foi enviada, nenhuma espera vai fazê-la aparecer. Verificação SMS percorre o próprio caminho de entrega e os pontos em que um código se perde.

Um OTP é uma credencial. Disso decorrem três regras, e a terceira é uma condição para usar este serviço:

• Ninguém legítimo vai pedir que você leia um código em voz alta. Nem o suporte, nem um entregador, nem um banco. Pedir o seu código já é o próprio ataque.
• Não digite um código que você não pediu. Um OTP inesperado significa que alguém tem a sua senha e está parado na segunda porta.
• Receba códigos só de contas às quais você tem direito. Alugue um número para verificar uma conta que você está criando ou que é sua. Receber um OTP que pertence à conta de outra pessoa é fraude, e não é para isso que estes números são vendidos.

O SMS é o segundo fator mais compatível e o mais fraco entre os de uso comum. Um número pode ser portado para longe do dono, e um número alugado, por definição, não é seu para sempre. Para qualquer coisa que guarde dinheiro ou identidade, um aplicativo autenticador ou uma chave física é um segundo fator significativamente melhor, e a maioria dos serviços que oferecem SMS também oferece uma dessas opções.

É uma recomendação direta, na contramão do que é vendido aqui: um número alugado é a ferramenta certa para uma verificação pontual, e a errada para ser o segundo fator permanente de uma conta que importa para você.