Yclas 的朋友们好！
上周五，我们发布了 Yclas 的最新版本。一如既往，我们始终致力于为想要创建交易平台或分类信息网站的用户提供最佳平台。今天，我们想为大家介绍两步短信登录验证功能。
这是什么？
两步短信验证是一项功能，无论是管理员还是普通用户，都可以借此以 100% 安全的方式登录自己的网站或账户。 管理员需要在管理面板中要求用户提供手机号码，并启用短信验证。随后，用户登录时可以通过短信完成验证：系统会向其手机发送一条带验证码的短信，用户只需将验证码输入网站即可登录。非常简单。
如何启用两步短信验证
如果您作为管理员想为用户和客户提供这项新功能，请按照以下步骤操作：
- 管理员须先注册 Clickatell
- 在 Clickatell 控制面板中，从左侧边栏选择 SMS integrations
- 点击 Activate Now 并设置账单信息。您可以在此处计算费用
- 完成集成激活后，再次选择 SMS integrations 并复制 API 密钥
- 在您网站的管理面板中，进入 Settings -> General，启用 2 Step SMS Authentication，并将 API 密钥粘贴到 Clickatell 字段中
- 点击 Save
您可以在我们的 文档页面上找到更多信息和操作步骤
短信验证码还是身份验证器应用？2026 年如何选择两步登录方式
更新：上述 Clickatell 的步骤已不再适用。如今，您可以在 Admin panel > Integrations > 2Factor 下开启两步短信登录。勾选“Enable 2 Step SMS Authentication”，将密钥粘贴到“2Factor API Key”中，保存后，再在 Settings > General > Regional 下选择您的主要所在国家（详见最新指南）。Yclas 还提供一个免费的替代方案：使用 Google Authenticator 进行两步登录，该功能列在功能页面上。您应该选择哪一种呢？
为什么任何一种第二步验证都值得启用
微软 2023 年针对 Azure Active Directory 账户开展的一项研礶《多因素认证在阻止网络攻击方面的效果如何？》发现，多因素认证可将账户被攻破的风险整体降低 99.22%，对于密码已经泄露的账户，这一比例为 98.56%。研礶人员还发现，身份验证器应用的保护效果优于短信验证。对于交易平台而言，一旦卖家账户被盗用，就可能被用来发布诈骗信息或向买家发送消息，因此这种保护至关重要。
短信验证的弱点
短信验证码的安全性取决于手机号码本身的安全性。在2022 年 2 月的一则警示中，美国联邦调查局（FBI）报告称，2018 年至 2020 年期间共收到 320 起 SIM 卡交换投诉，损失约 1,200 万美元，而仅 2021 年一年就收到 1,611 起投诉，损失超过 6,800 万美元。在 SIM 卡交换攻击中，犯罪分子会将受害者的号码转移到自己的 SIM 卡上，从而接收验证码。美国标准机构 NIST 已将其视为一种已知风险：其SP 800-63B-4 指南（2025 年）将短信和电话验证码列为“受限”认证方式。使用这类方式的服务必须同时提供另一种认证方式，并被要求留意 SIM 卡更换或号码转网等警示信号。
| 短信验证码（2Factor） | 身份验证器应用（Google Authenticator） | |
|---|---|---|
| 您的成本 | 每发送一条验证码都需向 2Factor 付费 | 免费 |
| 成员所需条件 | 有信号覆盖的手机号码 | 一台安装了该应用的智能手机 |
| 主要风险 | SIM 卡交换攻击。如果您的 2Factor 余额用尽，资料中填写了号码的成员将无法完成登录 | 丢失安装了该应用的手机 |
| 适用对象 | 用户习惯使用手机验证登录的市场 | 大多数网站，尤其是管理员账户 |
实用的配置方式
- 先启用身份验证器应用，并在每一个管理员和版主账户上使用它，因为这些账户掌控着支付和信息发布。
- 只有当您的成员需要时才添加短信验证，比如在手机号登录是常态的市场中。请留意您的 2Factor 余额：Yclas 指南提醒，余额用尽后，资料中填写了号码的成员将无法登录。
它是如何运作的
如上所述，这项功能非常易于使用，以下是它的具体运作步骤：
- 用户在您的网站上注册或发布信息
- 系统创建用户账户，用户进入 Edit Profile 页面并输入其手机号码
- 资料更新后，用户会在手机上收到一条带验证码的短信，并需要在下一页输入该验证码
- 此时用户完成身份验证，其账户的两步短信验证功能即已启用
如果您有任何问题、建议，或需要帮助，请 联系我们！
