باختصار
- رمز الرسالة النصية: يثبت رقم الجوال، ويعمل على أي جوال دون تطبيق.
- رمز البريد الإلكتروني: يثبت صندوق البريد، ويناسب التحقق من عنوان البريد.
- الموافقة بالإشعار: تحتاج تطبيقكم على الجهاز، وتناسب العملاء المسجلين فيه.
- رأي المعيار: يقيّد NIST SP 800-63B الرسائل النصية ويستبعد البريد في التحقق عبر قناة مستقلة.
- Digital Connect ترسل رموز OTP بالرسائل النصية، مع حماية من الاحتيال وحظر الدول وحدود الإنفاق وإشعار تسليم لكل رسالة.
مقارنة بين رمز التحقق عبر الرسائل النصية والبريد الإلكتروني والإشعارات
| رمز بالرسالة النصية | رمز بالبريد الإلكتروني | موافقة بالإشعار في تطبيقكم | |
|---|---|---|---|
| ما يثبته | أن العميل يستقبل الرسائل على هذا الرقم | أن العميل يفتح هذا البريد | أن العميل يحمل الجهاز المسجّل فيه تطبيقكم |
| ما يحتاجه العميل | جوال فيه شريحة | حساب بريد يستطيع فتحه | تطبيقكم مثبتًا ومسجّل الدخول مع السماح بالإشعارات |
| هل يحتاج تطبيقكم؟ | لا | لا | نعم |
| هل يحتاج اتصالًا بالإنترنت؟ | لا | نعم | نعم |
| الاستخدام المعتاد | التسجيل والدخول لأي عميل، والتحقق من رقم الجوال، وتأكيد الدفع | التحقق من عنوان البريد، ورموز استعادة الحساب | الموافقة على الدخول والعمليات لمستخدمي التطبيق |
| ما يحتاج إلى متابعة | تغيير الشريحة ونقل الرقم، وحركة الرسائل المضخّمة على شاشات OTP | الوصول إلى البريد، واستبعاد NIST للبريد في التحقق عبر قناة مستقلة | العملاء بلا تطبيق أو مع إيقاف الإشعارات |
ماذا يقول معيار NIST SP 800-63B
NIST SP 800-63B معيار أمريكي للهوية الرقمية تعتمده فرق أمن كثيرة مرجعًا، ويقول عن القنوات السابقة:
| الموضوع | ما ينص عليه المعيار |
|---|---|
| الرسائل النصية والمكالمات | استخدام شبكة الهاتف العامة في التحقق عبر قناة مستقلة مقيّد. |
| البدائل | على جهة التحقق أن توفر أنواعًا بديلة من وسائل التحقق لجميع المستخدمين. |
| مؤشرات الخطر | ينبغي لجهة التحقق مراعاة مؤشرات الخطر، مثل تغيير الجهاز وتغيير الشريحة ونقل الرقم، قبل إرسال رمز برسالة أو مكالمة. |
| البريد الإلكتروني | لا يُستخدم البريد الإلكتروني في التحقق عبر قناة مستقلة. أما رموز تأكيد عنوان البريد أو رموز الاستعادة فليست تحققًا من الهوية، ولا تشملها هذه القاعدة. |
المصدر: NIST SP 800-63B. وتأكدوا من المعيار الذي تطلبه الجهة المنظمة لقطاعكم.
أي قناة لأي مهمة
- التحقق من رقم الجوال: الرسالة النصية، فهي القناة التي تثبت أن العميل يستقبل الرسائل على ذلك الرقم.
- دخول عملاء قد لا يملكون تطبيقكم: الرسالة النصية، مع إتاحة وسيلة بديلة لمن يريدها.
- التحقق من عنوان البريد: رمز أو رابط عبر البريد.
- الموافقة على العمليات داخل التطبيق: الإشعار، مع الرسالة النصية بديلًا حين لا يتوفر التطبيق.
- العمليات عالية القيمة مثل الدفع أو تغيير رقم الجوال: اجمعوا بين أكثر من وسيلة، وراجعوا مؤشرات الخطر قبل إرسال الرمز.
كيف تجعلون رسائل OTP أكثر أمانًا
في Digital Connect:
- حماية من الاحتيال، وحظر الدول، وحدود الإنفاق لحسابكم، تحدّ من تكلفة حركة الرسائل المضخّمة.
- وصول API مقصور على عناوين IP مسموح بها أو اتصال VPN.
- إشعار تسليم لكل رسالة، فيمكن أن يشغّل فشل التسليم البديل لديكم.
- نماذج رسائل يعتمدها فريقكم وإنتركي قبل استخدامها.
في أنظمتكم:
- حدّوا عدد مرات طلب الرمز لكل رقم أو جهاز أو جلسة.
- راجعوا مؤشرات الخطر، مثل تغيير الشريحة حديثًا أو الدخول من جهاز جديد، قبل العمليات عالية القيمة.
- أتيحوا وسيلة تحقق بديلة كما يوصي معيار NIST.
اطلعوا على قائمة تطبيق رسائل OTP لمدة الصلاحية وإعادة المحاولة والاختبار.
قواعد رسائل OTP في السعودية
- اذكروا سبب إرسال الرمز. تُلزم «تنظيمات الحد من الرسائل والمكالمات الاقتحامية» الصادرة عن هيئة الاتصالات والفضاء والتقنية (الإصدار الثالث، أكتوبر 2022، المعتمدة بقرار الهيئة رقم 493/1444) بأن توضح الرسالة التي تحمل رمز تحقق الغرض منه، لا أن تكتفي بالرمز (البند 4-6-2).
- أرسلوا باسم مرسل مسجل. تسجّل إنتركي اسم المرسل الخاص بكم لدى المشغلين عبر النظام المركزي للرسائل الجماعية التابع للهيئة أثناء التجهيز.
- استخدموا مزودًا مصرّحًا له. تحمل إنتركي تصريح هيئة الاتصالات والفضاء والتقنية لتقديم خدمات الرسائل القصيرة (SMS).
وللاطلاع على صيغ توافق هذه القواعد: نماذج رسائل OTP.
أسئلة الفرق عن قنوات رمز التحقق
هل ما زالت رسائل OTP النصية مقبولة؟
يجيز معيار NIST SP 800-63B الرسائل النصية في التحقق عبر قناة مستقلة كخيار مقيّد: أتيحوا وسيلة بديلة، وراعوا مؤشرات الخطر مثل تغيير الشريحة ونقل الرقم. وتأكدوا مما تطلبه الجهة المنظمة لقطاعكم.
هل ننتقل من الرسائل النصية إلى رموز البريد؟
ليس للتحقق من الهوية إن كنتم تتبعون NIST SP 800-63B، فهو ينص على عدم استخدام البريد في التحقق عبر قناة مستقلة. وتبقى رموز البريد مناسبة لتأكيد عنوان البريد.
هل ترسل إنتركي رموز التحقق بالبريد أو بالإشعارات؟
لا. ترسل Digital Connect الرسائل النصية. ويقرر تطبيقكم أو نظام الهوية لديكم القناة المستخدمة، ويستدعي Digital Connect عبر REST أو SMPP أو SOAP عند إرسال الرمز برسالة نصية.
هل يمكن أن تكون الرسالة النصية بديلًا للإشعار؟
نعم. يقرر تطبيقكم متى ينتقل إلى البديل، ويرسل الرمز برسالة نصية عبر واجهة Digital Connect.
كيف تُسعّر رسائل OTP؟
بعرض سعر، ولرسائل OTP سعر مختلف عن الرسائل التسويقية.