Witajcie!!
Kilka dni temu wydaliśmy autoryzację SMS do logowania , co oznaczało, że mogliście skonfigurować dwuetapową autoryzację przy użyciu telefonu i SMS.
Dziś idziemy o krok dalej. Od teraz możesz zalogować się tylko za pomocą numeru telefonu! Bez potrzeby e-maila. Wyślemy Ci SMS na telefon przypisany do Twojego konta, a jeśli kod będzie prawidłowy, zostaniesz zalogowany ;)
Ale to nie wszystko! Wydaliśmy też rejestrację przez telefon!
- Użytkownik wpisuje swój telefon
- Wysyłamy mu SMS
- Wpisuje kod, jeśli jest prawidłowy
- Prosimy o e-mail
- Użytkownik zarejestrowany ;)
Bezpieczne logowanie SMS w 2026 roku: co się zmieniło i co skonfigurować
Logowanie przez telefon i rejestracja przez telefon są wciąż częścią Yclas. Dziś włączasz je w panelu administracyjnym w Panel > Integrations > 2Factor: dodaj swój klucz API 2Factor, a potem włącz funkcję. Gdy jest aktywna, formularz rejestracji przez telefon pojawia się razem ze zwykłym formularzem rejestracji, a opcja logowania przez telefon pojawia się na stronie logowania. Clickatell, używany w naszym wcześniejszym artykule o SMS, nie jest już dostępny w panelu administracyjnym. Dwie rzeczy zmieniły się od 2022 roku i obie wpływają na to, jak powinieneś prowadzić tę funkcję.
1. Kody SMS są teraz „ograniczonym” sposobem uwierzytelniania
Amerykański Narodowy Instytut Standardów i Technologii (NIST) sfinalizował SP 800-63B-4 w 2025 roku. Nazywa wysyłanie kodów przez sieć telefoniczną (SMS lub głos) jedynym „ograniczonym” sposobem uwierzytelniania. Wciąż możesz go używać, ale NIST mówi, że usługi powinny:
- oferować co najmniej jedną alternatywę, która nie jest ograniczona;
- informować użytkowników o ryzyku związanym z SMS i o bezpieczniejszej opcji;
- używać kodów o co najmniej sześciu cyfrach, wykorzystywanych w ciągu 10 minut;
- dopuszczać nie więcej niż 100 kolejnych nieudanych prób;
- brać pod uwagę sygnały ryzyka, takie jak zmiana karty SIM, zmiana urządzenia i przeniesienie numeru, czyli sposoby, jakimi atakujący przejmują numery telefonów.
Yclas już spełnia pierwszy punkt: jego logowanie dwuetapowe działa też z Google Authenticator. Traktuj SMS jako łatwą opcję dla kupujących i zachęcaj administratorów, moderatorów oraz sprzedających o dużym wolumenie do używania aplikacji uwierzytelniającej.
2. Oszustwo SMS pumping może zawyżyć Twój rachunek
Każdy publiczny formularz, który wysyła SMS, może być wykorzystany do oszustwa. Twilio opisuje SMS pumping jako proszenie przez oszustów o dużą liczbę SMS-ów z niezabezpieczonych formularzy, przy użyciu numerów telefonów, na których mogą zarobić, podczas gdy Twoja firma płaci za każdą wysłaną wiadomość. Twój formularz rejestracji przez telefon jest właśnie takim polem. Lista zapobiegawcza Twilio zaleca:
- blokowanie SMS do krajów, w których nie masz użytkowników;
- limity zapytań na użytkownika, na adres IP i na prefiks numeru, z rosnącymi odstępami między powtarzającymi się żądaniami;
- śledzenie proporcji zweryfikowanych kodów do wysłanych kodów i alarmowanie, gdy nagle spadnie;
- ochronę przed botami na formularzu i alerty przy skokach użycia.
Szybka checklista konfiguracji
- Jeśli Twój dostawca SMS to umożliwia, ogranicz wysyłkę do krajów, które obsługuje Twój marketplace, i ustaw alert niskiego salda.
- Pamiętaj, że formularze rejestracji i logowania przez telefon nie pokazują własnej CAPTCHA, więc limity u Twojego dostawcy SMS są Twoją główną ochroną.
- Sprawdzaj log dostarczania u swojego dostawcy SMS co tydzień. Skok liczby wysłanych kodów bez odpowiadającej liczby nowych kont to klasyczny znak pumpingu.
- Wspomnij o Google Authenticator na stronie pomocy, aby użytkownicy, którym zależy na bezpieczeństwie, mieli silniejszą opcję.
Mam nadzieję, że ta funkcja Ci się przyda i że będzie Ci się podobać!
