Получить OTP-код онлайн

Одноразовый пароль — это короткий секрет, который сервис генерирует для однократного использования и затем выбрасывает. Его определяют два свойства: он срабатывает один раз и перестаёт действовать вскоре после выдачи.

Он приходит по одному из нескольких каналов, и они не равноценны. SMS поддерживается шире всего, и именно его обслуживают эти номера. Приложения-аутентификаторы генерируют код на вашем устройстве из общего секрета, без всякой сети на пути. Email часто используется как резервный вариант. Голосовой звонок зачитывает цифры вслух. Только первый канал имеет отношение к номеру телефона, который можно арендовать.

Весь секрет — в порядке действий:

1. Сначала закажите номер. Выберите сервис, от которого нужен код, и дождитесь выдачи номера, прежде чем открывать форму регистрации.
2. Введите номер на сайте. Вставьте его в поле для номера телефона и нажмите «Отправить».
3. Следите за заказом. Сообщение появится, как только оператор его доставит, — ничего не нужно обновлять и не с чем синхронизироваться.
4. Используйте код сразу. К моменту, когда вы его читаете, часть его срока действия уже прошла.

Типичная ошибка — сделать первый и второй шаги в обратном порядке: запросить OTP, а потом пойти покупать номер. Сервис запустил таймер, когда вы нажали «Отправить», и теперь вы тратите это время на оплату.

Всегда идут два обратных отсчёта, и ни один из них не виден вам полностью.

Таймер сервиса запускается, когда вы запрашиваете код, и обычно длится несколько минут. Таймер номера запускается при создании заказа и показан в заказе. Код, который пришёл в пределах второго окна, но за пределами первого, доставлен, виден — и уже бесполезен. Вот почему «код пришёл, но сайт пишет, что он неверный» — такой частый финал.

На практике: не запрашивайте OTP, пока номер не окажется у вас перед глазами, и не отправляйте несколько запросов подряд в надежде, что хоть один дойдёт. Повторные запросы обычно аннулируют предыдущие коды и могут включить ограничение частоты, из-за которого сервис на время вообще перестанет отправлять SMS.

Действуйте в таком порядке — каждый шаг что-то исключает:

• Смотрите в заказ, а не в форму регистрации. Сообщение появляется в заказе, как только оператор его передаёт; форма об этом ничего не знает.
• Если срок номера истёк, а ничего не пришло, отмените заказ. Если ничего не было доставлено, деньги вернутся.
• Запросите код ещё раз на новый номер и сразу введите его на сайте.
• Если и на второй номер ничего не пришло, сервис отклоняет сам номер, а не теряет сообщение, — изменить результат может только другой сервис или другой подход к этому аккаунту.

Что не помогает — так это повторные попытки на тот же номер. Если сообщение так и не было отправлено, сколько ни жди, оно не появится. Страница SMS-верификация подробно разбирает сам путь доставки и места, где код теряется по дороге.

OTP — это учётные данные. Из этого следуют три правила, и третье — условие использования этого сервиса:

• Никто добросовестный никогда не попросит вас продиктовать код. Ни поддержка, ни курьер, ни банк. Просьба назвать код — это и есть атака.
• Не вводите код, который вы не запрашивали. Неожиданный OTP означает, что у кого-то есть ваш пароль и он стоит у второй двери.
• Получайте коды только для аккаунтов, на которые у вас есть право. Арендуйте номер, чтобы подтвердить аккаунт, который вы создаёте или который принадлежит вам. Получение OTP от чужого аккаунта — это мошенничество, и эти номера продаются не для этого.

SMS — самый совместимый второй фактор и самый слабый из распространённых. Номер можно увести у владельца, перенеся его к другому оператору, а арендованный номер по определению не принадлежит вам навсегда. Для всего, что связано с деньгами или личностью, приложение-аутентификатор или аппаратный ключ — заметно лучший второй фактор, и большинство сервисов, предлагающих SMS, предлагают и один из этих вариантов.

Это прямая рекомендация, идущая вразрез с тем, что здесь продаётся: арендованный номер — правильный инструмент для разовой верификации и неправильный — для постоянного второго фактора на аккаунте, который вам дорог.