SMS-верификация: как код на самом деле доходит до вас

Это проверка владения. Сайт не выясняет, кто вы такой, — он убеждается, что у вас в руках то, что должно быть только у вас. Поэтому один и тот же механизм встречается в трёх местах: при регистрации он подтверждает, что номер настоящий, при сбросе пароля — что номер по-прежнему ваш, а при входе служит вторым фактором.

По той же причине проверка надёжна ровно настолько, насколько крепко вы держите номер. Код, отправленный на линию, которую вы больше не контролируете, никого не защищает, — и на этом построены все рекомендации ниже на этой странице.

1. Вы вводите номер. Сайт приводит его к международному формату — +1 208 555 1234 — и отклоняет всё, что не удаётся разобрать.
2. Сайт может проверить номер по базе операторов. В ответ приходят оператор и тип линии. Номер, отсеянный на этом шаге, отклоняется ещё до того, как появится какое-либо сообщение, поэтому вы видите «неверный номер», а не ошибку доставки.
3. Сайт генерирует код. Обычно шесть цифр; код хранится в виде хеша с коротким сроком действия — как правило, от пяти до десяти минут — и передаётся SMS-провайдеру.
4. Провайдер маршрутизирует сообщение. Через агрегатора, к оператору получателя, по тому межоператорскому соединению, о котором они договорились.
5. Оператор доставляет SMS туда, где сейчас находится номер.
6. Вы вводите код обратно. Сайт сравнивает его с сохранённым хешем и проверяет, не истёк ли срок.

Шесть шагов, четыре организации, и только второй шаг выдаёт сообщение об ошибке, которое вы можете прочитать. Всё, что дальше, либо доходит, либо молча пропадает.

Примерно в порядке того, как часто это оказывается настоящей причиной:

• Номер отклонён при проверке. Тип линии вернулся как voip, и сообщение так и не было отправлено. Это самая частая причина, по которой не срабатывает виртуальный номер, и выглядит она как ошибка формата, а не как отказ.
• Оператор отфильтровал сообщение. Массовый трафик от приложений оценивается на спам, и отфильтрованное SMS молча отбрасывается, а не возвращается отправителю.
• Номер уже зарегистрирован. Многие сервисы разрешают один аккаунт на номер и не отправят второй код на номер, который уже видели.
• Нет маршрута. Не каждый отправитель доставляет SMS в любую страну, и отсутствующий маршрут отказывает без всякого уведомления.
• Код пришёл, но истёк. Код, простоявший в очереди одиннадцать минут при сроке действия в десять, доставлен — и бесполезен.
• Вас ограничивают по частоте запросов. После нескольких запросов подряд некоторые сервисы перестают отправлять код, но продолжают показывать тот же экран подтверждения.

Немедленный повтор помогает ровно в одном из этих случаев. Во всех остальных помогает только одно — что-то поменять: номер, тип его линии или сервис.

Есть вполне обычные причины подтверждать аккаунт номером, который не является вашим личным:

• Тестирование собственной регистрации или сброса пароля через реальный маршрут оператора, а не через заглушку.
• Разделение рабочего аккаунта и личного номера — или наоборот.
• Регистрация в сервисе, который требует номер США, когда вы находитесь не в США.
• Нежелание давать постоянный номер сайту, с которым вы раньше не имели дела, — учитывая, куда в итоге попадают маркетинговые базы.

И одна неуважительная: создание аккаунтов, которые сервис прямо запрещает. Арендованный номер не меняет его правил, и аккаунт, построенный на таком номере, — это тот аккаунт, который исчезнет.

Какой номер вам нужен, зависит от того, что проверяет сайт и как долго номер должен оставаться у вас. В разделе номера non-VoIP разобран фильтр по типу линии, который отсекает большинство виртуальных номеров. Страница виртуальные номера телефона разделяет четыре разных продукта, которые продаются под одним названием. Временные номера телефона — о том, как долго номер остаётся у вас, а прайс-лист показывает, сколько стоит каждый сервис, ещё до того, как вы что-либо потратите.