Las buenas prácticas básicas para SMS OTP son una ruta rápida y directa, un sender ID registrado, un mensaje corto con el código cerca del principio, una validez de pocos minutos, límites de frecuencia contra el SMS pumping y un canal de respaldo cuando el SMS falla. Mida el éxito por los códigos introducidos, no solo por los informes de entrega.
Elija la ruta adecuada
Una contraseña de un solo uso solo sirve si llega en segundos. La mayoría de los usuarios se rinden o piden un código nuevo tras 30 a 60 segundos. Eso hace del OTP el tipo de tráfico en el que las rutas baratas salen más caras.
- Use rutas directas o de alta calidad, a ser posible declaradas y tarifadas para tráfico OTP.
- Mantenga al menos dos rutas por país importante para poder cambiar cuando una se degrade.
- Vigile la latencia, no solo la tasa de entrega. Una entrega mediana por debajo de 5 a 10 segundos es un objetivo razonable en buenas rutas. Consulte la tasa de entrega y la latencia del SMS.
Sender ID y registro
Los usuarios confían en los códigos que llegan de un nombre reconocible. Donde se admiten sender ID alfanuméricos, registre el nombre de su marca en los países que lo exigen y use el mismo nombre en todas partes. En países como India, los mensajes OTP además deben coincidir con una plantilla registrada. En Estados Unidos, el tráfico OTP va por campañas 10DLC registradas, números toll-free verificados o códigos cortos. Las normas están en el registro de sender ID y 10DLC y SMS toll-free en Estados Unidos.
Redacte bien el mensaje
- El código al principio o cerca: "123456 es su código de MyApp. Válido 5 minutos." Así el código se ve en la vista previa de la notificación.
- Nombre el servicio para que los usuarios sepan para qué es el código, y añada "No comparta este código" para reducir la ingeniería social.
- Quédese en GSM-7 y por debajo de 160 caracteres para que el mensaje sea un solo segmento. Un solo carácter acentuado o especial puede pasar todo el mensaje a Unicode y reducir el límite a 70. Consulte la codificación GSM-7 vs Unicode.
- Sin enlaces en los mensajes OTP salvo que sean imprescindibles. Los enlaces activan los filtros antispam y parecen phishing.
- Admita el autocompletado: en Android, la SMS Retriever API usa un hash de la app de 11 caracteres en el mensaje; en iOS, el sistema detecta los códigos, y los códigos vinculados a un dominio usan una línea final con el dominio y el código.
Ajustes del código y de la sesión
| Ajuste | Práctica habitual |
|---|---|
| Longitud del código | 6 dígitos |
| Validez del código | De 3 a 10 minutos |
| Periodo de validez del SMS al enviarlo | Corto, unos minutos, para que los mensajes tardíos caduquen en lugar de llegar cuando ya no sirven |
| Reenvío permitido tras | De 30 a 60 segundos |
| Máximo de intentos por número | Unos pocos por hora; después, bloquear o cambiar de canal |
Protéjase del SMS pumping
Los endpoints de OTP son el principal blanco del tráfico inflado artificialmente: los bots generan miles de códigos hacia números de tarificación especial o de alto coste para que alguien de la cadena cobre una parte de la tarifa. Defensas que funcionan:
- Límites de frecuencia por número de teléfono, por IP, por dispositivo y por prefijo de país.
- Bloquear o pedir verificación adicional en los países en los que no opera.
- Alertas ante aumentos repentinos de tráfico hacia prefijos inusuales y ante una conversión baja (códigos enviados que nunca se introducen).
- Protección antibots en el formulario que genera el código.
Más información en el SMS pumping (tráfico inflado artificialmente).
Mida la conversión y prevea un respaldo
Los informes de entrega pueden ser erróneos o llegar tarde. La métrica real es la conversión: la proporción de códigos que los usuarios introducen. Sígala por país, red y ruta. Cuando el SMS falla o el usuario pide un reenvío, un respaldo como una llamada de voz que lee el código o un mensaje por WhatsApp puede recuperar la sesión. Consulte el respaldo del OTP: SMS, voz y WhatsApp.
Cómo obtener rutas para OTP
VoIPMatcher obtiene rutas SMS A2P aptas para OTP de sus carriers y las gestiona por usted. Sus datos de tráfico no se comparten con los proveedores. Solicite una ruta SMS para OTP indicando sus países y su volumen mensual.
Preguntas frecuentes
¿Es seguro el OTP por SMS?
El OTP por SMS es un segundo factor razonable para la mayoría de los servicios de consumo, pero no es el más robusto. Los códigos se pueden robar mediante SIM swap, phishing o ingeniería social, por eso los mensajes deben decir que no se comparta el código. Para operaciones de alto riesgo, como pagos importantes, muchos servicios añaden autenticación por app y dejan el SMS como respaldo.
¿Cuánto tiempo debe ser válido un OTP?
La mayoría de los servicios hacen que un código sea válido de 3 a 10 minutos. Una validez más corta limita el daño si se intercepta un código, pero un margen demasiado corto deja fuera a los usuarios con rutas lentas. Fije también un periodo de validez del SMS corto al enviarlo, para que un mensaje atascado en una cola caduque en lugar de llegar cuando el código ya no sirve.
¿Cuántos dígitos debe tener un OTP?
Lo habitual son seis dígitos. Dan un millón de combinaciones, suficiente cuando los intentos están limitados, y son fáciles de leer y escribir. Los códigos más cortos son más fáciles de adivinar y los más largos provocan más errores al teclear. Combine la longitud con un límite de intentos por número y por sesión.
¿Cuál es la mejor alternativa al OTP por SMS?
Las alternativas habituales son las llamadas de OTP por voz, los mensajes de autenticación de WhatsApp, las apps de autenticación y las notificaciones push en su propia app. La mayoría de los servicios mantienen el SMS por defecto porque funciona en cualquier teléfono sin app, y añaden otro canal como respaldo o para operaciones de alto riesgo. Elija por país y mida la conversión de cada canal.
¿Por qué llegan con retraso los SMS OTP?
Los retrasos suelen venir de la ruta: las rutas indirectas encolan los mensajes en cada salto, la limitación de velocidad acumula una cola cuando supera sus TPS, y los firewalls de los operadores retienen o filtran los sender ID no registrados. Los teléfonos apagados o sin cobertura también retrasan la entrega. Mida la latencia por país y red, y tenga una ruta de reserva a la que cambiar.
¿Necesita una ruta?
Envíe el destino, el tipo de ruta y la tarifa objetivo. Le respondemos con lo que podemos ofrecer.