如何为您的交易平台启用双因素认证注册

大家好！！

几天前，我们发布了登录短信验证 功能，这意味着您可以使用手机和短信设置双因素认证。

今天，我们要再进一步。从现在起，您只需用手机号码即可登录！无需邮箱。我们会向与您账户绑定的手机发送一条短信，只要验证码正确，您就可以登录 ;)

但这还不是全部！我们还发布了手机注册功能！

1. 用户输入自己的手机号码
2. 我们向其发送一条短信
3. 用户输入验证码，如验证通过
4. 我们会要求其提供邮箱
5. 用户注册完成 ;)

2026 年如何安全运行短信登录：有哪些变化及如何设置

手机登录和手机注册功能至今仍是 Yclas 的一部分。如今，您可以在管理面板的 Panel > Integrations > 2Factor 下启用它们：填入您的 2Factor API 密钥，然后开启即可。启用后，手机注册表单会与常规注册表单一同出现，登录页面上也会出现手机登录选项。我们早先文章中提到的 Clickatell，在管理面板中已不再提供。自 2022 年以来，有两件事情发生了变化，都会影响您应如何运行这项功能。

1. 短信验证码现已被列为“受限”认证方式

美国国家标准与技术研礶院（NIST）于 2025 年正式发布了SP 800-63B-4。该标准将通过电话网络发送验证码（短信或语音）列为唯一的“受限”认证方式。您仍然可以使用它，但 NIST 建议服务应当：

• 提供至少一种非受限的替代认证方式；
• 告知用户短信验证的风险以及更安全的选择；
• 使用至少六位数字的验证码，并在 10 分钟内有效；
• 连续失败尝试次数不超过 100 次；
• 留意 SIM 卡更换、设备更换和号码转网等风险信号，这些正是攻击者劫持手机号码的常见手段。

Yclas 已经满足了第一点：其两步登录同样支持 Google Authenticator。请将短信验证视为面向买家的简便选项，并鼓励管理员、版主以及高销量卖家使用身份验证器应用。

2. 短信轰炸诈骗可能让您的账单暴涨

任何会发送短信的公开表单都可能被滥用。Twilio 将短信轰炸（SMS pumping）描述为：诈骗者利用自己能从中获利的电话号码，向未加防护的表单大量请求发送短信，而您的企业则要为每条发出的短信付费。您的手机注册表单正是这样一个易被滥用的字段。Twilio 的防范清单建议：

• 屏蔽向没有用户的国家发送短信；
• 按用户、按 IP 地址以及按号码前缀设置发送频率限制，并对重复请求设置递增的延迟；
• 追踪已验证验证码与已发送验证码之间的比例，并在该比例突然下降时发出警报；
• 为表单加入机器人防护，并在使用量激增时发出警报。

快速设置清单

1. 如果您的短信服务商支持，请将发送范围限制在您的交易平台所服务的国家，并设置余额不足提醒。
2. 请注意，手机注册和手机登录表单本身并不带有验证码（CAPTCHA），因此短信服务商处设置的限制是您的主要防线。
3. 每周检查您短信服务商的发送记录。验证码发送量激增却没有相应的新账户增长，正是短信轰炸的典型特征。
4. 在您的帮助页面中提及 Google Authenticator，为重视安全的用户提供一个更强的选择。

希望这项功能对您有用，也希望您使用愉快！