Hallo!!
Een paar dagen geleden hebben we SMS Auth voor inloggen uitgebracht, wat betekent dat je tweefactorauthenticatie kon instellen met een telefoon en sms.
Vandaag gaan we een stap verder. Vanaf nu kun je inloggen met alleen je telefoonnummer! Geen e-mail meer nodig. We sturen je een sms naar het telefoonnummer dat aan je account is gekoppeld, en als de code correct is, word je ingelogd ;)
Maar dat is niet alles! We hebben ook registreren met de telefoon uitgebracht!
- De gebruiker voert zijn telefoonnummer in
- We sturen hem een sms
- Hij voert de code in, als deze geldig is
- We vragen om een e-mailadres
- Gebruiker geregistreerd ;)
Sms-login veilig gebruiken in 2026: wat er is veranderd en wat je moet instellen
Inloggen en registreren met telefoonnummer zijn nog steeds onderdeel van Yclas. Je schakelt dit vandaag in je admin in onder Panel > Integrations > 2Factor: voeg je 2Factor API-key toe en schakel het vervolgens in. Zodra het actief is, verschijnt er een telefoonregistratieformulier naast het normale aanmeldformulier, en verschijnt er een telefooninlogoptie op de inlogpagina. Clickatell, dat we gebruikten in ons eerdere sms-artikel, wordt niet meer aangeboden in de admin. Er zijn twee dingen veranderd sinds 2022, en beide beïnvloeden hoe je deze functie zou moeten gebruiken.
1. Sms-codes zijn nu een "beperkte" authenticatiemethode
Het Amerikaanse National Institute of Standards and Technology heeft in 2025 SP 800-63B-4 afgerond. Hierin wordt het versturen van codes via het telefoonnetwerk (sms of spraak) aangewezen als de enige "beperkte" authenticatiemethode. Je kunt het nog steeds gebruiken, maar NIST stelt dat diensten dit zouden moeten doen:
- minstens één alternatief aanbieden dat niet beperkt is;
- gebruikers informeren over de risico's van sms en over de veiligere optie;
- codes van minstens zes cijfers gebruiken, geldig binnen 10 minuten;
- niet meer dan 100 opeenvolgende mislukte pogingen toestaan;
- rekening houden met risicosignalen zoals simwissels, apparaatwissels en nummerportering, de manieren waarop aanvallers telefoonnummers overnemen.
Yclas voldoet al aan het eerste punt: de tweestapsverificatie werkt ook met Google Authenticator. Zie sms als de makkelijke optie voor kopers, en moedig admins, moderators en verkopers met veel verkopen aan om een authenticator-app te gebruiken.
2. Sms-pumpfraude kan je rekening flink laten oplopen
Elk openbaar formulier dat een sms verstuurt, kan worden misbruikt. Twilio beschrijft sms-pumping als fraudeurs die grote aantallen sms-berichten aanvragen via onbeveiligde formulieren, met telefoonnummers waarmee ze geld kunnen verdienen, terwijl jouw bedrijf betaalt voor elk verzonden bericht. Jouw telefoonregistratieformulier is precies zo'n veld. Twilio's preventiechecklist raadt aan:
- sms blokkeren naar landen waar je geen gebruikers hebt;
- ratelimieten per gebruiker, per IP-adres en per nummerprefix, met toenemende vertragingen tussen herhaalde verzoeken;
- de verhouding tussen geverifieerde codes en verzonden codes bijhouden, en waarschuwen als deze plotseling daalt;
- botbeveiliging op het formulier en waarschuwingen bij piekgebruik.
Snelle instellingenchecklist
- Als je sms-provider dit toestaat, beperk het versturen tot de landen die jouw marketplace bedient, en stel een waarschuwing in bij een laag tegoed.
- Houd er rekening mee dat de telefoonregistratie- en telefooninlogformulieren geen eigen CAPTCHA tonen, dus de limieten bij je sms-provider zijn je belangrijkste bescherming.
- Controleer wekelijks het bezorglogboek van je sms-provider. Een piek in verzonden codes zonder overeenkomstige nieuwe accounts is het klassieke teken van pumping.
- Vermeld Google Authenticator op je helppagina, zodat gebruikers die veiligheid belangrijk vinden een sterkere optie hebben.
Ik hoop dat je deze functionaliteit nuttig vindt en dat je er plezier van hebt!
