Длину OTP-кода и срок его действия выбирают вместе: код должен быть достаточно сложным для угадывания и оставаться доступным пользователю столько, сколько нужно для ответа на звонок и ввода цифр. Для Flash Call система звонит на указанный номер, а пользователь вводит последние цифры входящего номера. Ниже — практический способ определить параметры, проверить их на реальном сценарии и понять, когда менять настройки.
Как работает код в Flash Call?
При авторизации по звонку сервис отправляет короткий вызов на номер пользователя. Последние цифры входящего номера становятся кодом подтверждения. Пользователь видит вызов и переносит цифры в поле на сайте или в приложении. Для проверки сервис сопоставляет введённый код с ожидаемым.
У OTP-кода ограниченный срок действия, и после успешного использования его нужно считать недействительным. Это правило снижает риск повторного применения кода, если кто-то увидел его или получил доступ к истории вызовов. Общий принцип одноразовых паролей и каналов их доставки описан в материале «Одноразовые пароли и коды подтверждения» (smsblog.ru).
У Flash Call длина кода связана с номером входящего вызова: пользователь вводит его последние цифры. Поэтому для выбора длины сначала проверьте, сколько цифр использует выбранный сценарий авторизации, и не задавайте длину отдельно от способа подтверждения.
Как подобрать длину кода?
Код должен быть коротким для ручного ввода, но достаточно трудным для случайного подбора. Не выбирайте длину только ради удобства: проверьте, какие ограничения есть у используемого решения, и как код выглядит на экране входящего вызова. В Flash Call пользователь должен легко отличить нужные последние цифры от остальной части номера.
Начните с простого пользовательского сценария. Человек вводит номер, ожидает звонок, смотрит на экран телефона и возвращается в форму. Если код приходится искать или переписывать целиком, проблема может быть не в его длине, а в подсказке на экране или порядке действий.
Для ручного ввода подпишите поле ясно: «Введите последние цифры номера, с которого поступил звонок». Не просите вводить весь номер, если для проверки нужны только его последние цифры. Для формы и логики ввода пригодится материал об ошибках ввода номера в Flash Call.
В выбранной длине важно учитывать и возможность автоматической подстановки. Если пользователь вводит код вручную, поле должно принимать цифры без лишних символов, а ошибка — объяснять, что проверить: номер телефона, последние цифры вызова или актуальность кода.
Как определить срок действия OTP-кода?
Срок действия отсчитывают с момента выдачи кода, а не с момента, когда пользователь открыл экран ввода. Он должен покрывать обычное время ожидания звонка и набор цифр. Слишком короткий срок заставляет человека повторять авторизацию, если вызов задержался. Слишком длинный оставляет старому коду больше времени, в течение которого его можно попытаться использовать.
Точного срока, подходящего каждому бизнесу, нет: он зависит от задержки доставки вызова, скорости ввода и действий пользователя. Начните с параметра, который поддерживает ваша система, и проверьте его в тестовом сценарии. Зафиксируйте время от запроса звонка до появления вызова на телефоне и отдельно — время, которое пользователь тратит на ввод.
После проверки задайте срок с небольшим запасом относительно обычного сценария, но не оставляйте код действительным бессрочно. Если пользователь запрашивает новый код, старый лучше сделать недействительным, чтобы два разных кода не конкурировали в одной попытке входа. Это поведение нужно проверить в документации API или в настройках сервиса.
Как проверить настройки на практике?
Пройдите авторизацию на телефонах и в условиях, которыми пользуются ваши клиенты. Проверьте четыре ситуации: звонок приходит быстро, звонок задерживается, пользователь вводит код с ошибкой, срок действия заканчивается до отправки формы. Для каждой ситуации запишите, что видит человек и какое действие может сделать дальше.
Если вызов не пришёл вовремя, экран должен объяснять, что делать после окончания ожидания. Повторный запрос не должен оставлять пользователя с непонятным статусом: покажите, когда можно запросить следующий вызов, и сообщите, что предыдущий код уже не подходит, если система его аннулировала. Лимиты повторов стоит согласовать со сроком действия кода, а не настраивать отдельно. Подробнее — в материале о лимитах повторов авторизации по звонку.
Проверяйте настройки после изменений в интеграции. Например, если вы поменяли обработку повторного запроса, убедитесь, что сервер больше не принимает предыдущий код. Для этого достаточно пройти сценарий целиком: получить вызов, запросить новый и отправить старый код.
Какие ошибки чаще всего мешают авторизации?
- Срок действия выбирают без проверки фактического времени доставки звонка.
- Поле просит ввести весь номер, хотя кодом служат последние цифры входящего номера.
- При повторном запросе остаются действительными сразу несколько кодов.
- Сообщение об ошибке не объясняет, нужно ли проверить цифры или запросить новый звонок.
- Настройки тестируют только при быстрой доставке и не проверяют истечение срока.
Выбирайте длину, исходя из формата Flash Call, а срок — по результатам проверки задержек и времени ввода. Затем протестируйте повторный запрос и истечение кода: эти два сценария покажут, понятно ли пользователю, что делать, и принимает ли система только актуальное подтверждение. Если авторизацию нужно встроить в сайт или приложение, параметры кода и повторы можно согласовать в рамках API-интеграции.
