線上接收 OTP 驗證碼

一次性密碼是服務產生的一組簡短密碼，只用一次就作廢。它有兩個決定性的特性：只能用一次，而且核發後不久就會失效。

它可以透過幾種管道送達，而這些管道並不等價。簡訊是支援最廣的，也是這些號碼所服務的管道。驗證器 App 會根據共用金鑰在你的裝置上產生驗證碼，過程中完全不經過網路。電子郵件常被當作備援。語音則是打電話把數字唸出來。只有第一種和可以租用的電話號碼有關。

操作順序就是全部的訣竅：

1. 先訂購號碼。 選擇你需要驗證碼的服務，在動手填註冊表單之前，先讓號碼核發下來。
2. 在網站上送出號碼。 把號碼貼到要求填寫號碼的欄位，然後按下傳送。
3. 盯著訂單。 電信業者一送達，簡訊就會出現，不需要重新整理，也沒有收件匣要同步。
4. 立刻使用。 當你看到驗證碼時，它的有效時間已經過了一部分。

最常見的錯誤是把第一步和第二步的順序弄反：先要求 OTP，再跑去買號碼。服務在你按下傳送的那一刻就開始計時，而你卻把那段時間花在結帳上。

永遠有兩個倒數同時在跑，而且兩個都不會完整地顯示給你看。

服務的計時器從你要求驗證碼時開始，通常只有幾分鐘。號碼的計時器從訂單建立時開始，會顯示在訂單上。一組驗證碼若是在第二段時間內、但在第一段時間外送達，它會被送達、看得到，卻已經沒用了，這也是為什麼「收到驗證碼卻顯示無效」是如此常見的結局。

實務上：號碼還沒到手之前不要要求 OTP，也不要一次排好幾個請求、期待其中一個成功。重複請求通常會讓先前的驗證碼失效，還可能觸發頻率限制，讓服務暫時完全停止發送。

請依照以下順序處理，因為每一步都能排除一種可能：

• 看訂單，而不是看註冊表單。 電信業者一交出簡訊，它就會顯示在訂單上；表單對此一無所知。
• 如果號碼到期時什麼都沒收到，就取消它。 沒有任何簡訊送達時，費用會退回。
• 用新號碼再要求一次，並立刻在網站上送出。
• 如果第二個號碼也什麼都沒收到，代表服務拒絕的是號碼，而不是弄丟了簡訊。換一個服務，或換一種方式處理那個帳號，才可能改變結果。

沒有幫助的做法是用同一個號碼重試。如果簡訊從未發出，等再久也不會出現。簡訊驗證說明了傳送路徑本身，以及驗證碼可能在哪些環節遺失。

OTP 是一種憑證。由此衍生出三條規則，其中第三條是使用本服務的條件：

• 任何正當的對象都不會要求你唸出驗證碼。 客服不會、快遞不會、銀行也不會。要你提供驗證碼的請求，本身就是攻擊。
• 不要輸入你沒有要求的驗證碼。 突然收到的 OTP，代表有人拿到了你的密碼，正站在第二道門前。
• 只接收你有權使用之帳號的驗證碼。 租號碼是為了驗證你正在建立的帳號，或屬於你的帳號。接收屬於他人帳號的 OTP 是詐欺，這些號碼並不是為此而販售的。

簡訊是相容性最高的第二道驗證，也是常見方式中最弱的一種。號碼可能被移轉而脫離原持有人，而租來的號碼本來就不會永久屬於你。凡是涉及金錢或身分的帳號，驗證器 App 或硬體金鑰都是明顯更好的第二道驗證，而大多數提供簡訊驗證的服務也都提供其中一種。

這是一個和我們所販售的東西唱反調的直接建議：租來的號碼適合一次性的驗證，卻不適合作為你在乎之帳號的永久第二道驗證。