Hej!!
För några dagar sedan lanserade vi SMS-autentisering för inloggning vilket innebar att du kunde ställa in tvåfaktorsautentisering med hjälp av en telefon och SMS.
Idag går vi ett steg längre. Från nu kan du logga in bara med ditt telefonnummer! Ingen e-post behövs. Vi skickar ett SMS till telefonen som är kopplad till ditt konto, och om koden är korrekt blir du inloggad ;)
Men det är inte allt! Vi har också lanserat registrering med telefonen!
- Användaren anger sin telefon
- Vi skickar ett SMS till hen
- Hen anger koden, om den är giltig
- Vi ber om en e-postadress
- Användaren är registrerad ;)
Att köra SMS-inloggning säkert 2026: vad som ändrats och vad du bör ställa in
Telefoninloggning och telefonregistrering är fortfarande en del av Yclas. Idag aktiverar du dem i din adminpanel under Panel > Integrations > 2Factor: lägg till din 2Factor-API-nyckel och aktivera den. När den är aktiv visas ett telefonregistreringsformulär tillsammans med det vanliga registreringsformuläret, och ett alternativ för telefoninloggning visas på inloggningssidan. Clickatell, som användes i vår tidigare SMS-artikel, erbjuds inte längre i adminpanelen. Två saker har ändrats sedan 2022, och båda påverkar hur du bör köra den här funktionen.
1. SMS-koder är nu en "begränsad" autentiseringsmetod
Den amerikanska standardiseringsmyndigheten NIST färdigställde SP 800-63B-4 2025. Den pekar ut att skicka koder via telefonnätet (SMS eller röstsamtal) som den enda "begränsade" autentiseringsmetoden. Du kan fortfarande använda den, men NIST säger att tjänster bör:
- erbjuda minst ett alternativ som inte är begränsat;
- informera användare om riskerna med SMS och om det säkrare alternativet;
- använda koder på minst sex siffror, som används inom 10 minuter;
- tillåta högst 100 på varandra följande misslyckade försök;
- ta hänsyn till risksignaler som SIM-byten, enhetsbyten och nummerflytt, vilket är hur angripare tar över telefonnummer.
Yclas täcker redan den första punkten: dess tvåstegsinloggning fungerar också med Google Authenticator. Se SMS som det enkla alternativet för köpare, och uppmuntra administratörer, moderatorer och högvolymsäljare att använda en autentiseringsapp.
2. SMS pumping-bedrägerier kan dra upp din räkning
Alla publika formulär som skickar ett SMS kan missbrukas. Twilio beskriver SMS pumping som att bedragare begär stora mängder textmeddelanden från oskyddade formulär, med telefonnummer de kan tjäna pengar på, medan ditt företag betalar för varje skickat meddelande. Ditt telefonregistreringsformulär är precis den typen av fält. Twilios checklista för att förebygga detta rekommenderar:
- blockera SMS till länder där du inte har några användare;
- hastighetsgränser per användare, per IP-adress och per nummerprefix, med växande fördröjningar mellan upprepade förfrågningar;
- följa kvoten mellan verifierade koder och skickade koder, och larma när den plötsligt sjunker;
- botskydd på formuläret och larm vid plötsliga ökningar i användning.
Snabb checklista för installationen
- Om din SMS-leverantör tillåter det, begränsa utskick till de länder din marknadsplats betjänar och sätt upp en varning för lågt saldo.
- Kom ihåg att formulären för telefonregistrering och telefoninloggning inte har en egen CAPTCHA, så gränserna hos din SMS-leverantör är ditt huvudskydd.
- Kontrollera din SMS-leverantörs leveranslogg varje vecka. En topp i skickade koder utan motsvarande nya konton är det klassiska tecknet på pumping.
- Nämn Google Authenticator på din hjälpsida så att användare som bryr sig om säkerhet har ett starkare alternativ.
Jag hoppas att du tycker att den här funktionen är användbar och att du gillar den!
