Verificação SMS e como o código realmente chega até você

É uma verificação de posse. O site não está confirmando quem você é; está confirmando que você tem nas mãos algo que só você deveria ter. É por isso que o mesmo mecanismo aparece em três lugares diferentes — para provar que um número é real no cadastro, para provar que ele ainda é seu na redefinição de senha e como segundo fator no login.

É também por isso que a verificação só é tão forte quanto o seu controle sobre o número. Um código enviado para uma linha que você não controla mais não protege ninguém, e esse é o raciocínio por trás de todas as recomendações mais abaixo nesta página.

1. Você informa um número. O site o normaliza para o formato internacional — +1 208 555 1234 — e rejeita qualquer coisa que não consiga interpretar.
2. Ele pode fazer uma consulta de operadora. Essa consulta retorna a operadora e o tipo de linha. Um número que falha aqui é recusado antes de existir qualquer mensagem, e é por isso que você vê “número inválido” em vez de uma falha de entrega.
3. Ele gera o código. Normalmente seis dígitos, guardados como hash com uma validade curta — de cinco a dez minutos é o comum — e entregues a um provedor de SMS.
4. O provedor faz o roteamento. Por um agregador, até a operadora de destino, pela interconexão que as duas tiverem combinado.
5. A operadora entrega o código a quem estiver com o número.
6. Você digita o código de volta. O site o compara com o hash armazenado e confere se ele não expirou.

Seis etapas, quatro empresas, e só a segunda produz uma mensagem de erro que você consegue ler. Tudo o que vem depois ou chega, ou simplesmente não chega.

Mais ou menos na ordem de frequência com que cada uma é a causa real:

• O número foi recusado na consulta. O tipo de linha voltou como voip e a mensagem nunca foi enviada. Esse é o motivo mais comum de um número virtual falhar, e parece um erro de formatação, e não uma recusa.
• A operadora filtrou a mensagem. Tráfego de aplicativos em grande volume recebe uma pontuação de spam, e uma mensagem filtrada é descartada em silêncio, sem aviso de devolução.
• O número já está cadastrado. Muitos serviços permitem uma conta por número e não enviam um segundo código para um número que já conhecem.
• A rota não existe. Nem todo remetente entrega para todos os países de destino, e uma rota inexistente falha sem aviso.
• O código chegou, mas já tinha expirado. Um código que ficou onze minutos na fila para uma janela de dez minutos é entregue e não serve para nada.
• Você atingiu um limite de tentativas. Depois de vários pedidos seguidos, alguns serviços param de enviar e continuam mostrando a mesma tela de confirmação.

Tentar de novo imediatamente resolve exatamente um desses casos. Para os outros, a única coisa que funciona é mudar algo — o número, o tipo de linha ou o serviço.

Há motivos comuns para se verificar com um número que não é o seu pessoal:

• Testar o seu próprio fluxo de cadastro ou de redefinição de senha em uma rota real de operadora, em vez de um mock.
• Manter uma conta de trabalho fora da linha pessoal, ou o contrário.
• Cadastrar-se em um serviço que exige um número dos EUA quando você não está nos EUA.
• Não entregar um número permanente a um site com o qual você não tem histórico, considerando onde as listas de marketing costumam ir parar.

E um que não é: criar contas que um serviço já disse que não permite. Um número alugado não muda o que dizem os termos de uso, e uma conta construída sobre ele é a conta que desaparece.

O número de que você precisa depende do que o site verifica e de quanto tempo você precisa ficar com ele. Números non-VoIP explica o filtro de tipo de linha que barra a maioria dos números virtuais. Números virtuais esclarece os quatro produtos diferentes vendidos com esse mesmo nome. Números temporários trata de quanto tempo o número fica com você, e a tabela de preços mostra quanto custa cada serviço antes de você gastar qualquer coisa.