Si votre application nécessite l'envoi de Codes à Usage Unique (OTP) pour la réinitialisation de mots de passe ou le 2FA, la manière dont vous livrez ce code compte. L'envoyer de manière non sécurisée annule complètement l'objectif de la vérification d'authentification.
Le problème avec les OTP par SMS
Pendant des années, envoyer un code à 6 chiffres par SMS était la norme. Cependant, le National Institute of Standards and Technology (NIST) a déprécié le 2FA basé sur SMS.
Pourquoi ? Les vulnérabilités du réseau SS7 permettent d'intercepter les messages, et les attaques par échange de SIM permettent aux pirates de rediriger les SMS de vos utilisateurs vers leurs propres téléphones.
Alternatives sécurisées au SMS
1. Applications d'Authentification (TOTP)
Au lieu d'envoyer un code, l'appareil de l'utilisateur le génère en utilisant un secret partagé. C'est hautement sécurisé car le secret ne transite jamais par le réseau après la configuration initiale.
2. OTP par Email (Avec réserves)
L'email peut être intercepté si TLS n'est pas appliqué, mais il est généralement considéré plus sûr que le SMS si le compte email de l'utilisateur est protégé par un 2FA matériel.
3. Liens Magiques Chiffrés
Au lieu d'un OTP, envoyez un lien chiffré spécialisé (similaire à l'architecture PassLink) qui authentifie l'utilisateur au clic.
Meilleures pratiques pour l'envoi d'OTP
- Appliquez toujours une fenêtre d'expiration courte (5-10 minutes maximum).
- Limitez le taux de l'endpoint de génération d'OTP pour prévenir la fraude de SMS pumping.
- N'incluez jamais le mot de passe de l'utilisateur ou des PII sensibles dans le même message que l'OTP.
Partage des Clés de Configuration TOTP
Lors de la configuration d'une application d'authentification pour un compte d'entreprise partagé, vous devez souvent partager le code QR ou le secret base32. N'envoyez jamais cela par Slack. Utilisez PassLink pour générer un lien autodestructible pour le secret TOTP.
Essayez PassLink — C'est Gratuit
Créez un lien chiffré et autodestructeur en 10 secondes. Sans inscription.
Créer un Lien Secret Maintenant