Код подтверждения телефона: что это такое и зачем он нужен

Почти каждая регистрация сегодня упирается в одно и то же: сервис просит номер телефона и присылает несколько цифр, которые нужно ввести обратно. Разбираемся, что это за цифры, зачем они понадобились и что делать, когда механизм даёт сбой.

Зачем сервисы просят подтвердить номер

Смысл простой: отличить живого человека от того, кто вписал первый попавшийся номер.

• Отсечь фейковые аккаунты. Без проверки один человек регистрирует тысячу учётных записей за минуту — ради бонусов новичкам, накрутки отзывов или рассылки спама. Подтверждение номера делает такую регистрацию дорогой.
• Убедиться, что контакт рабочий. Курьер должен дозвониться, а уведомление о заказе — дойти. Опечатка в номере обнаруживается сразу, а не в день доставки.
• Дать способ вернуть доступ. Подтверждённый телефон — это то, чем вы докажете, что аккаунт ваш, если забудете пароль.
• Защитить вход. Код при входе с нового устройства означает, что одного украденного пароля недостаточно.
• Выполнить требования регулятора. В части отраслей — финансовых сервисах, связи, госуслугах — подтверждённый контакт требуется по закону, и обойти это сервис не может, даже если бы хотел.

Отсюда же ответ на частый вопрос, почему нельзя обойтись одной электронной почтой. Адрес заводится за десять секунд, их можно создать сколько угодно, и стоит это ноль. Номер телефона привязан к SIM-карте, которую нужно купить, а массовая регистрация на сотни номеров становится ощутимо дороже возможной выгоды. Телефон — не лучший идентификатор личности, но хороший ограничитель для автоматических регистраций.

Что такое верификация номера телефона простыми словами

Верификация — проверка, что номер действительно ваш, то есть что вы прямо сейчас имеете к нему доступ. Не что SIM-карта оформлена на ваше имя и не кто её владелец по документам: сервис этого не знает и знать не может. Он проверяет только фактический доступ к телефону.

Отсюда важное следствие: подтверждение номера ничего не говорит о вашей личности. Оно говорит, что человек за формой держит в руках телефон с этим номером. Для большинства задач этого достаточно.

Слова «верификация», «подтверждение» и «проверка номера» в интерфейсах означают одно и то же.

Стоит отделить это и от другой процедуры, которую тоже иногда называют верификацией, — подтверждения личности по документам. Там сервис сверяет паспортные данные и просит фотографию; к коду из SMS это отношения не имеет. Проверка номера решает узкую задачу: убедиться, что телефон, указанный в форме, доступен тому, кто его указал.

Где вы встречаете подтверждение номера

Механизм один, а поводов запросить код — четыре, и требования у них разные.

• Регистрация. Сервис проверяет номер один раз и привязывает его к новому аккаунту.
• Вход. Код запрашивается либо вместо пароля, либо в дополнение к нему — обычно при входе с незнакомого устройства.
• Подтверждение действия. Смена пароля, изменение реквизитов, крупный перевод, оформление заказа. Здесь код подтверждает не личность, а намерение совершить конкретную операцию.
• Восстановление доступа. Забыт пароль — телефон становится доказательством, что аккаунт ваш.

Различать их полезно по одной причине: если вам пришёл код за действие, которого вы не совершали, это уже не бытовая накладка, а сигнал. Особенно когда речь о смене пароля или входе.

Способы подтверждения номера

Одноразовый код — самый известный способ, но не единственный.

Последние два способа объединяет то, что вводить код не требуется. Про звонок — отдельный разбор ниже.

Как проходит подтверждение шаг за шагом

Классический сценарий с кодом выглядит одинаково почти везде:

1. Вы вводите номер в формате, который просит сервис, — обычно с кодом страны.
2. Сервис создаёт одноразовый код и отправляет его на этот номер.
3. Вы получаете сообщение и вводите цифры в форму.
4. Сервис сравнивает введённое с отправленным. Совпало — номер подтверждён и привязан к аккаунту.
5. Код становится недействительным. Для следующей проверки будет сгенерирован новый.

На четвёртом шаге обычно есть ограничение по числу попыток: несколько неверных вводов подряд — и форма временно блокируется. Это защита от простого перебора четырёх цифр.

Что может пойти не так

Код не приходит. Самая частая проблема и самая многофакторная: сеть, память телефона, фильтры оператора, роуминг, задержка на стороне отправителя. Разбор всех причин и порядок действий — в отдельном материале не приходит код подтверждения.

Код приходит с задержкой. Приходит, но уже просроченным. Запрашивайте новый и вводите сразу — старые сообщения при этом лучше игнорировать, действителен всегда последний код.

Код не подходит. Обычно это либо просроченный код, либо код из предыдущего сообщения, либо опечатка. Если пробовали несколько раз подряд, может сработать защита от перебора — тогда нужно подождать.

«Этот номер нельзя использовать для подтверждения». Номер уже привязан к другому аккаунту, исчерпан лимит регистраций на один телефон, или сервис не принимает номера этого диапазона. Решается только на стороне сервиса.

Форма не принимает номер. Обычно дело в формате: где-то ждут номер с восьмёркой, где-то с плюсом и кодом страны, где-то без пробелов и скобок. Попробуйте международный вид — +7 и десять цифр без разделителей.

Кончились попытки. После нескольких неверных вводов подряд форма блокируется на время. Это защита от подбора: четырёхзначный код перебирается быстро, если не ограничивать попытки. Ждать придётся от нескольких минут до часа.

Приходят коды, которых вы не запрашивали. Отдельная ситуация со своими причинами — от чужой опечатки в номере до попытки войти в ваш аккаунт. Разбор — в материале про чужие коды подтверждения.

Почему код можно не вводить вообще

Ввод кода — не самоцель, а способ доказать, что телефон у вас. Доказать это можно и по-другому: позвонить самому.

Сценарий выглядит так. Сервис показывает вам номер, вы нажимаете вызов, звонок обрывается через мгновение — и проверка пройдена. Никаких цифр запоминать и вводить не нужно, ждать сообщения тоже: подтверждением служит сам факт вызова с вашего номера, а его сервис видит сразу.

Почему это работает надёжнее: SMS должна пройти цепочку посредников, на каждом звене которой может потеряться, а исходящий вызов идёт по голосовой сети напрямую. Плюс инициатива у вас — вы не ждёте, пока что-то доедет.

Как это устроено технически и почему звонок доходит там, где теряется SMS, — в статье про подтверждение номера телефона звонком. Если вы разрабатываете сервис и хотите так же — там же описан порядок подключения.

Безопасность: кому нельзя сообщать код

Короткий раздел, но самый важный на странице.

Код подтверждения нельзя сообщать никому. Ни в переписке, ни по телефону, ни «сотруднику банка», ни «службе поддержки», ни знакомому, который «случайно указал ваш номер». Настоящая поддержка любого сервиса никогда не спрашивает код: он ей не нужен, у неё есть доступ к системе.

Схема мошенничества всегда одна и та же: жертве звонят, придумывают повод — подозрительная операция, отмена заказа, перевод от родственника — и просят продиктовать цифры из пришедшего сообщения. В этот момент злоумышленник уже нажал «Войти» или «Восстановить доступ» в вашем аккаунте, и не хватает ему ровно одного — кода, который пришёл вам.

Правила, которые закрывают почти все случаи:

• Код из сообщения не сообщается никому, без исключений.
• Если звонящий торопит и давит — это признак мошенничества, а не срочности. Положите трубку и перезвоните сами по номеру с официального сайта.
• Читайте текст сообщения целиком: там обычно написано, для какого действия код. «Код для входа», пришедший, когда вы никуда не входите, — сигнал сменить пароль.
• По ссылкам из сообщений с кодами переходить не нужно, там их не бывает.